В сфере информационной безопасности

В основу этой структуры законодательства положена известная Программа подготовки законодательного и нормативного обеспечения работ в области информатизации, принятую в апреле 1992 года. В рамках этой Программы были разработаны и большинство приняты следующие законы: "Об информации, информатизации и защите информации", "Об ответственности за злоупотребление при работе с информацией", "Об участии в международном информационном обмене и контроле за экспортом информационной продукции", "Соглашение государств – членов СНГ о сотрудничестве в сфере информатизации", "О государственной тайне", "О коммерческой тайне" и др.

Реализация Программы позволила:

создать правовые основы процесса информатизации в России;

нормативно закрепить права граждан, организаций и государства на информацию;

установить правовой режим информации и информатизации с учетом правил охраны государственной и коммерческой тайны, порядка правовой, организационной и технической защиты информации и информационного ресурса в целом, основ защиты и правовых гарантий, прав потребителя на информацию;

защитить права автора и собственника информационно–программной продукции;

законодательно оформить участие России в международном информационном обмене, а также решить другие задачи правового регулирования информатизации в рамках единой концепции правового регулирования;

определить ряду министерств и ведомств (ФАПСИ, Гостехкомиссия России, ФСБ, МВД и др.) задачи и функции по разработке норм ИБ, требования и правила организационные и технические характеристики уязвимости информации, совокупность комплексных мер ЗИ, определяемых уровнем ее ценности, секретности, общественной опасности нарушений в работе НИТ.

Так, в рамках указанной Программы разработаны нормативные документы, в том числе государственные стандарты, позволяющие осуществлять классификацию защищенных информационно–вычислительных систем, учитывающих характеристики уязвимости, ценности и секретности информации, функциональные и объектовые особенности конкретных ИС. В этих нормативных документах определены:

• требования и рекомендации по составу, функциональным и качественным характеристикам используемых и вновь разрабатываемых технических средств защиты;

• рекомендации по применению необходимых административных и организационных мер защиты;

• требования по способам проверки (верификации) эффективности и корректности функционирования применяемых средств защиты странами-членами СНГ и другими государствами.

Рассмотренные нормы разработаны с учетом комплексного применения существующих способов, видов и средств защиты и на основе Международного стандарта "Критерии оценки безопасности информационных технологий".

Следующим компонентом системы законодательства в сфере ИБ является законодательство, регулирующее процессы в системах сертификации средств защиты информации, НИТ и лицензирования работ в области ИБ. Придается значение также новому направлению в информационном законодательстве – страхованию ИС, АС, информационных ресурсов и компьютерной информации, средств и систем обеспечения ИБ. Однако задача создания стройной законодательной системы, одновременно удовлетворяющей требованиям комплексной защиты информации, является сложной и окончательно не решенной.

С учетом известных положений теории права, вполне обоснованной является классификация нормативных правовых актов по показателю юридической силы. Это, прежде всего закон. Из его содержания вытекают известные признаки закона как основного источника права, нормативного правового акта, обладающего высшей юридической силой. Закон занимает ведущее и определяющее положение в системе нормативных правовых актов. Подзаконный акт не может вторгаться в сферу законодательного регулирования и должен быть приведен в соответствие с законом или немедленно отменен.

Подзаконные нормативные правовые акты в системе законодательства представляют правотворческие акты компетентных органов, в том числе исполнительной власти, основанные на законе, не противоречат ему и призваны конкретизировать основные, принципиальные положения законов применительно к своеобразию различных индивидуальных интересов в сфере ИБ. По субъектам издания и сфере распространения они делятся на общие, местные, ведомственные и внутриорганизационные акты.

Общие подзаконные акты – нормативные правовые акты общей компетенции, действие которых распространяется на всех лиц в пределах территории страны. По своей юридической силе и значению они следуют за законными. К общим подзаконным актам относятся нормотворческие предписания высших (центральных) органов исполнительной власти и выражаются в двух разновидностях подзаконных актов: указах Президента, постановлениях Правительства.

Местные подзаконные акты, издаваемые местными органами представительной власти и органами местного самоуправления на ограничено подвластной им территории.

Ведомственные нормативные правовые акты в форме приказов, инструкций, издаются подразделениями правительственных органов, министерствами, ведомствами, наделенные правотворческими функциями, которые делегируются законодательной властью, Президентом или Правительством. Это нормативные правовые акты общего действия, однако, они распространяются лишь на ограниченную сферу общественных отношений (таможенные, банковские, транспортные, государственно-кредитные и другие).

Внутриорганизационные подзаконные акты представляют нормативные правовые акты, издаваемые различными организациями для регламентации своих внутренних вопросов и распространяются на членов этих организаций.

Структура системы законодательства государства неоднородна и обусловливается особенностями форм государственного правления, многовековыми традициями страны, национальными и другими факторами. Однако большинство нормативных правовых систем формируется по основанию степени юридической силы акта. Степень юридической силы нормативных правовых актов может быть различна, но степень обязательности содержащихся в них норм абсолютно одинакова для всех кому относятся их предписания. Такое принципиальное положение составляет основу функционирования правового государства, в котором закон охватывает своим действием все основные стороны общественной жизни и является главным гарантом коренных интересов, прав и свобод личности. С учетом изложенных положений классификации разрабатывается и законодательная база по ИБ.

7.2. Структура законодательства в сфере информационной безопасности

Действующее законодательство направлено на борьбу с правонарушением в информационной сфере и определяет ответственность за преступления, связанные с информацией, в том числе: государственные преступления (измена, шпионаж, разглашение государственной тайны, утрата документов, содержащих государственную тайну); корыстные преступления (кража, грабеж, разбой, присвоение, а равно подлог документов); преступления, совершенные по неосторожности (уничтожение, повреждение, должностная халатность); хозяйственные преступления (выпуск недоброкачественной продукции).

Однако в нем недостаточно норм, отражающих процесс ЗИ при ее обработке и обеспечения прав человека, определяющих ответственность за нарушение прав личности, связанное с неразрешенным сбором персональных данных, их разглашением или отказом в получении надлежащей информации. Недостаточно определены нормы, обеспечивающие охрану отношений, возникающих в связи с использованием новых информационных технологий. При этом можно выделить следующие особенности обработки информации: существование информации и программ в виде нематериальной "электронной копии"; возможность неограниченного, скрытого и бесследного доступа посторонних лиц к "электронной копии" информации и программ, которые могут совершить и хищение (копирование), модификацию или уничтожение; возможность введения в ЭВМ неразрешенных, несанкционированных технологией программных средств, в том числе вирусного характера.

С учетом этих особенностей, законодательство должно отражать мероприятия защиты от злоупотреблений в области использования компьютерной техники, которые включают: распространение на информацию и программы для ЭВМ, представленные в форме "электронных копий", свойств объекта имущественного права, то есть признание их объектом права собственности и товарным продуктом; установление правового режима информации, предусматривающего ее обязательное документирование; признание противоправными умышленные деяния, заключающиеся в нарушении норм защиты, хищениях (копировании), несанкционированном доступе, разработке и распространении компьютерных вирусов и других вредоносных программ, независимо от последствий, к которым они привели; установление ответственности администрации за непринятие мер безопасности, приведшее к совершению компьютерных правонарушений; дополнение кодекса по административным правонарушениям нормами, закрепляющими право наложения административных взысканий органами, осуществляющими надзор в этой области; установление ответственности за правонарушения в информационной сфере осуществляется с учетом.

С учетом рассмотренных выше подходов формирования законодательства и классификации нормативных правовых актов в области обеспечения ИБ, можно выделить ряд основных законодательных актов, определяющими в целом юридические аспекты обеспечения ИБ Российской Федерации, используемых ИС, НИТ. Вариант структуры такого законодательства составляют следующие нормативные правовые акты: Конституция Российской Федерации; Гражданский кодекс Российской Федерации; Кодекс Российской Федерации об административных правонарушениях; Уголовный кодекс; Закон "Об обороне"; Закон "О безопасности"; Закон "О государственной тайне".

Закон "Об информации, информатизации и защите информации";

Закон "О федеральных органах правительственной связи";

Закон «Об участии в международном информационном обмене» и др.;

Указы Президента Российской Федерации;

Постановления Правительства Российской Федерации;

Нормативные правовые акты, регулирующие международные информационные отношения в информационной сфере;

Нормативные документы Государственной технической комиссии при Президенте Российской Федерации;

Государственные стандарты по защите информации;

Отраслевые стандарты по защите информации и другие.

В последующих параграфах будут рассмотрены основные положения действующего законодательства, регулирующего отношения в сфере обеспечения информационной безопасности.

7.3. Основные нормы Конституции России, Гражданского кодекса о правах и обязанностях граждан в сфере информационной безопасности

Механизмы конституционного регулирования информационных отношений находятся в диалектическом единстве с федеральными законами, нормативными правовыми актами органов исполнительной власти, другими нормативными правовыми актами, регулирующими различные стороны информационных правоотношений, в том числе и в сфере обеспечения информационной безопасности.

Конституционный статус информационных отношений закреплен в статьях 23, 24 , 41, 42 и др. Их содержанием заключается в следующем:

• ст. 24 (п. 2) определяет субъекты информационных правоотношений: с одной стороны - это органы государственной власти, органы местного самоуправления (их, соответственно, должностные лица), с другой - граждане Российской Федерации;

• ст. 23 п.2 - закреплено право граждан на "тайну переписки, телефонных переговоров, почтовых, телеграфных и иных сообщений. Ограничение этого права допускается только на основании судебного решения";

• ст. 24 п.1 - предусматривает защиту информационных прав и свобод граждан: «…не допускается распространение информации о частной жизни лица (равно как и сбор, хранение, использование сведений) без его согласия»;

• ст.24 п.2 – закрепляет конкретные права граждан на информацию. "Органы государственной власти и органы местного самоуправления, их должностные лица обязаны обеспечить каждому возможность ознакомления с документами и материалами, непосредственно затрагивающими его права и свободы, если иное не предусмотрено законом";

• ст.29 п.4 - провозглашает, что "каждый имеет право свободно искать, получать, передавать, производить и распространять информацию любым законным способом";

• ст.29 п.5 - закрепляет гарантия свободы массовой информации и запрет на цензуру.

Предметом конституционного регулирования стали правоотношения не только в сфере информации личного характера, но и в сферах правовой (п. 3,ст. 15) и экологической информации. Статья 41 п.3 декларирует ответственность за сокрытие должностными лицами фактов и обстоятельств, создающих угрозу для жизни и здоровья людей, а статья 42 закрепляет право каждого на благоприятную окружающую среду и достоверную информацию о ее состоянии.

Конституция наделяет граждан России широкими правами, в том числе в информационной сфере. Ограничение некоторых прав и свобод граждан может быть допущено только на основании судебного решения.

Нормы Конституции России и Гражданский кодекс декларируют право граждан на информацию в соответствие с международными нормами, что подтверждается следующими положениями:

• главный принцип конституционных информационных отношений, представляющий принцип свободы информации, который в широком смысле является центральным принципом всего конституционного регулирования;

• Конституция подтверждает международное право граждан на информацию: "Каждый имеет право свободно искать, получать, передавать, производить и распространять информацию любым законным способом. Перечень сведений, составляющих государственную тайну, определяется федеральным законом" (пункт 4 ст. 29). Эта норма, положена в основу законодательного обеспечения и гарантий права на информацию не только граждан, но и ассоциаций различных направлений и самого государства. Понятие "каждый" относится к гражданам и другим субъектам, в том числе государственным органам, общественным объединениям, предприятиям, частным фирмам и т. д. Объективная сторона данной нормы состоит в перечислении ряда действий, из которых состоит право на информацию.

• в Конституции из общей системы информации выделяется непосредственно та, которая связанна с персональными защищаемыми данными о гражданах. Такая информация дифференцирована (статья 23) на личную, семейную тайну, а также тайну переписки, телефонных переговоров, почтовых, телеграфных и иных сообщений. Ограничение права на этот вид информационной тайны допускается только на основании судебного решения;

• в Конституции отражен режим информации о частной жизни граждан, а также запрет на сбор, хранение, использование и распространение информации о частной жизни лица без его согласия (пункт 1, статья 24);

• одновременно с закреплением права граждан на информацию Конституция обязывает органы государственной власти и органы местного самоуправления, их должностных лиц обеспечить каждому возможность ознакомления с документами и материалами, непосредственно затрагивающими его права и свободы, если иное не предусмотрено законом (пункт 2, статья. 24);

• в Конституции определены ответственность на основе федерального закона за сокрытие должностными лицами фактов и обстоятельств, создающих угрозу для жизни и здоровья людей, а также необходимость представления достоверной информации о состоянии окружающей среды (статьи 41, 42). Определены обязанности соответствующих органов государственной власти по владению и использованию должным образом отдельных видов информации;

• конституционные нормы косвенно затрагивают осуществление гражданином права на информацию без нарушения прав и свобод других лиц (пункт 3 статья 17);

• Конституцией определено право каждого обращаться в межгосударственные органы по защите прав и свобод человека, если исчерпаны все имеющиеся внутригосударственные средства правовой защиты (статья. 46), включая случаи нарушения права на информацию. Затронуты и вопросы легитимности ограничения свободы;

• заложенные в Конституции ограничения (статья 19), можно интерпретировать как невозможность злоупотребления информацией о социальной, расовой, национальной, религиозной, языковой принадлежности граждан;

• важное значение имеет ограничительная норма в которой заложен принцип ограничения права и свободы на информацию, составляющую государственную тайну. Это продиктовано необходимостью защиты основ конституционного строя, нравственности, прав и законных интересов других лиц, обеспечения обороны страны и безопасности государства (статья 55);

• статья 71 определяет вопросы формирования и управления информационным ресурсом страны. В ней отражено положение об отнесении федеральной информации и связи к ведению государства. Вместе с тем, никакой определенности относительно информации, которая возникает и циркулирует в системе совместного ведения Федерации и субъектов Федерации в Конституции не содержится. Очевидно, здесь необходимо исходить из разделения собственности в пределах Федерации, а также между государственным и местным самоуправлением.

В Гражданском кодексе определены: 1) информация как объект гражданского права наряду с интеллектуальной собственностью и имуществом (ст. 128); 2) информация, составляющая служебную и коммерческую тайну (статья 139): "Информация составляет служебную или коммерческую тайну в случае, когда информация имеет действительно или потенциально коммерческую ценность в силу неизвестности ее третьим лицам, к ней нет свободного доступа на законном основании и обладатель информации принимает меры к охране ее конфиденциальности. Лица, незаконными методами получившие информацию, которая составляет коммерческую или служебную тайну, обязаны возместить причиненные убытки".

Рассмотренные положения Конституции и Гражданского кодекса прямо или косвенно регулируют отношения в информатизации, определяют право на информацию, его гарантии, ограничения и создание условий для информационной безопасности, разграничение сфер ведения на важнейшие составные элементы информатизации, в том числе на информацию и связь. Эти положения являются конституционной основой развития законодательства в области информатизации и ИБ.

7.4. Основное содержание законов Российской Федерации в сфере информационной безопасности

В этом параграфе будет рассмотрена часть нормативных правовые актов, входящих в законодательство информационной сферы и сферы информационной безопасности. Некоторые из представленных в параграфе нормативных правовых актов рассматривались ранее, в предыдущих главах. Их упоминание здесь направлено на формирование системного представления о структуре законодательства.

Базовым законом законодательства в информационной сфере и сфере обеспечения информационной безопасности считается Закон Российской Федерации "Об информации, информатизации и защите информации" от 25 января 1995 года, который обеспечивает решение задачи правового регулирования прав граждан на информацию, закрепленную в статье 29 п.2 Конституции России. Он является правовой основой регулирования конкретных информационных отношений в сфере информатизации, в области формирования и использования информационных ресурсов, создания и использования информационных технологий и средств их обеспечения, защите информации и прав субъектов, участвующих в информационных процессах, информатизации и учитывает возрастание роли информации в обновлении производственного, научного, организационного и управленческого потенциалов страны, в решении вопроса включения России в мировое сообщество.

Действия закона охватывает отношения, возникающие:

при сборе, передаче, обработке, накоплении, хранении, актуализации и представлении потребителю документированной информации;

создании, внедрении и эксплуатации АИС, банков данных, других систем обработки и передачи информации.

Действие самого закона не распространяется: 1) на отношения, регулируемые Законом Российской Федерации "О средствах массовой информации"; 2) на отношения, связанные с произведениями искусства, историческими и культурными памятниками, недокументированной информацией; 3) на отношения, регулируемые нормами авторского и патентного права.

На основе этого закона впервые в законодательной практике России появилась реальная возможность решать вопросы:

закрепления права граждан, организаций, государства на информацию;

установления правового режима информации на основе применения в этой области правил документирования, института собственности, деления информации по признаку доступа на открытую и с ограниченным доступом, правил формирования информационных ресурсов и пользования ими;

установления основных прав и обязанностей государства, организаций, граждан в процессе создания информационных систем страны, создания и развития научно–технической, производственной базы информации, формирование рынка информационной продукции услуг в этой сфере;

установления правил и общих требований ответственности в области защиты информации в системах ее обработки, гарантии субъектов в процессе реализации права на информацию, гарантии безопасности в области информатизации;

определения порядка включения страны в международные информационные системы.

Закон, кроме учета и развития норм Конституции РФ о праве граждан на информацию, согласуется с действующим законодательством, затрагивающим проблемы информации, информатизации и защиты информации. В Законе выделяются положения, связанные с юридической силой документированной информации. Информация признается объектом права собственности граждан, организаций, общественных объединений, государства, а информационные ресурсы могут быть товаром и включаться в состав имущества органов и организаций. Собственник информационных ресурсов имеет право определить режим доступа, правила обработки, защиты к информации.

Режим доступа к информационным ресурсам определяется тем, что информация подразделяется на категории открытого и ограниченного доступа. Информация ограниченного доступа по условиям ее правового режима подразделяется на секретную и конфиденциальную.

Укрепление правовой основы предпринимательской деятельности осуществляется за счет законодательного закрепления в России института и формирования законодательства о коммерческой тайне, которое призвано:

защищать права на интеллектуальную собственность, беспатентные технологии от безвозмездного их приобретения и использования;

обеспечивать реализацию принципа учета стоимости информации и информационных услуг;

создавать со стороны государства необходимые гарантии защиты субъектов путем дополнения законодательства об авторском праве и промышленной собственности нормами, предоставляющими им право засекречивать ценную информацию в качестве коммерческой тайны для защиты ее владельца от промышленного шпионажа и недобросовестной конкуренции.

На основе конституционных норм, регулирующих отношения в информационной сфере, получили развитие и другие нормативные правовые акты. Так решение задачи соблюдение прав и свобод граждан, обеспечения информационной безопасности государства невозможно без сохранения так называемого "информационного" суверенитета. Информация, как важнейший национальный ресурс, не может оставаться незащищенной, что предполагает необходимость, регулирования информационных отношения, возникающих при обращении сведений, составляющих государственную тайну, отнесении к этой тайне, а также при их рассекречивании, защите в интересах обеспечения безопасности Российской Федерации. Одним из важных нормативных правовых актов, обеспечивающих регулирование отношений в области защиты государственной тайны, является закон "О государственной тайне". Он регулирует отношения, возникающие в связи с отнесением сведений к государственной тайне, их рассекречиванием и защитой в интересах обеспечения безопасности страны. Несмотря на определенную преемственность закона административно–командным принципам защиты, в нем отсутствуют присущие этим принципам такие недостатки как излишняя регламентация, излишня ориентированность на засекречивание без учета экономической целесообразности, неуважительное отношение к правам граждан, работающих со сведениями, составляющими государственную тайну. В основу концепции закона положена идея переориентации существующей системы защиты информации на достижение баланса интересов человека, общества и государства, адаптацию ее к происходящим изменениям в системе управления, экономической, политической, военной и других сферах жизни общества, создание механизмов реализации правоотношений, способных развиваться в новых условиях.

Правовой основой закона "О государственной тайне" является закон РФ "О безопасности" от 03.1992 г. Закон РФ "О безопасности" позволил связать защиту государственной тайны с обеспечением безопасности государства, отнести ее к задачам федерального уровня, избежав появления региональных тайн и региональных законодательных актов, регламентирующих их защиту. Этим же объясняется и непосредственная увязка с ущербом безопасности государства содержания базового понятия государственной тайны. В законе определены полномочия конкретных должностных лиц, по отнесению сведений к государственной тайне. Перечень должностных лиц утверждается Президентом России и в него входят руководители министерств и ведомств – основных держателей секретов. Этим перечнем полномочия руководителей разграничены. Ответственность за обоснованность отнесения сведений к государственной тайне и за целесообразность сохранения сведениями ранее установленной степени секретности целиком и полностью возлагается на руководителя, принявшего такое решение.

Содержание закона составляют восемь разделов.

В первом разделе даны общие положения, в которых определены: сфера действия закона; основные понятия, термины и определения, используемые в законе; законодательная основа, на которой базируется Закон "О государственной тайне"; полномочия органов всех ветвей государственной власти и должностных лиц в области отнесения сведений к государственной тайне.

Во втором разделе определены сведения, относимые к государственной тайне.

Третий раздел определяет порядок засекречивания сведений и их носителей. В ней представлены: принципы засекречивания; сведения, не подлежащие засекречиванию; степени секретности сведений и грифы секретности носителей этих сведений; порядок отнесения сведений к государственной тайне; ограничение прав собственности предприятий, учреждений, организаций и граждан РФ на информацию в связи с ее засекречиванием; порядок засекречивания сведений и их носителей; реквизиты носителей сведений, составляющих государственную тайну.

В четвертом разделе дан порядок рассекречивания сведений и их носителей, включающий:

• порядок рассекречивания сведений;

• порядок рассекречивания носителей сведений, составляющих государственную тайну;

– порядок исполнения запросов граждан, предприятий, учреждений, организаций и органов государственной власти РФ о рассекречивании сведений.

В пятом разделе определен порядок распоряжения сведениями, составляющими государственную тайну, а именно:

осуществление взаимной передачи сведений, составляющих государственную тайну, органами государственной власти, предприятиями, учреждениями и организациями;

передача сведений, составляющих государственную тайну, в связи с выполнением совместных и других работ;

передача сведений, составляющих государственную тайну, другим государствам;

защита сведений, составляющих государственную тайну, при изменении функций субъектов правоотношений.

В шестом разделе "Защита государственной тайны" определены:

структура органов защиты государственной тайны;

порядок допуска должностных лиц и граждан к государственной тайне;

основание для отказа должностному лицу или гражданину в допуске к государственной тайне;

условия прекращения к допуску должностного лица или гражданина к государственной тайне;

ограничение прав должностного лица или гражданина, допущенного или ранее допускавшегося к государственной тайне;

организация доступа должностного лица или гражданина к сведениям, составляющим государственную тайну;

ответственность за нарушение законодательства РФ о государственной тайне;

допуск предприятий, учреждений, организаций к проведению работ, связанных с использованием сведений, составляющих государственную тайну;

порядок сертификации средств защиты информации.

В седьмом разделе определен порядок финансирования мероприятий по защите государственной тайны.

В восьмом разделе приведены система и порядок контроля и надзора за обеспечением защиты государственной тайны. В общем, виде это составляет следующие положения: по парламентскому контролю; межведомственному и ведомственному контролю; прокурорскому надзору.

Необходимо отметить, что положения по защите государственной тайны обязательны для исполнения на территории РФ и за ее пределами всеми органами представительной, исполнительной и судебной власти, местного самоуправления, предприятиями, учреждениями и организациями независимо от их организационно–правовой формы собственности, должностными лицами, гражданами страны, взявшими на себя обязательства либо обязанными по своему статусу исполнять требования законодательства РФ о государственной тайне.

Органы федеральной исполнительной власти в составе Министерства безопасности, Министерства обороны, Федерального агентства правительственной связи и информации при Президенте РФ, а также Службы внешней разведки, Государственной техническая комиссия при Президенте и их органы на местах организуют и обеспечивают защиту государственной тайны в соответствии с их функциональным предназначением, определенным законом.

Все сведения, относимые к государственной тайне, систематизированы по областям: военной, экономики, науки, технике, внешней политики и экономики, разведывательной, контрразведывательной, оперативно-розыскной, организации защиты информации. Эти сведения могут иметь различные степени секретности и установленные им в соответствие грифы секретности.

Законодательная база, определяющая перечень сведений, отнесенных к государственной тайне, механизм и порядок ее защиты должна разрабатываться исходя из принципа равной безопасности. Применительно к информационной сфере, это принцип адекватной информированности государств мирового сообщества, предполагающий право каждого государства на информационную безопасность, обеспечение информационной безопасности всех членов сообщества в равной мере, учет интересов всех сторон без какой–либо дискриминации, исключение односторонних преимуществ, отказ от действий, наносящих ущерб другому государству. В основу законодательной базы должны быть положены многосторонние соглашения государств, входящих в международную систему ИБ.

Важными компонентом законодательства в рассматриваемой сфере является закон Российской Федерации "О федеральных органах правительственной связи и информации" от 19 февраля 1993 года. В нем определено право ФАПСИ издавать нормативные акты, предписания в части организации, обеспечения функционирования и безопасности правительственной, шифровальной и иных видов специальной связи, а также информационно–аналитических сетей, комплексов технических средств, баз данных высших органов государственной власти и Совета безопасности Российской Федерации. Законом также определены: меры защиты информации, связанные с правилами оформления на службу или работу в ФАПСИ; ответственные лица порядок сохранения сведений, составляющих охраняемую законом тайну; порядок хранения документальных материалов ФАПСИ.

Рассмотрим еще ряд нормативных правовых актов, обеспечивающих регулирование информационных отношений в сфере обеспечения информационной безопасности.

Так регулирование частных информационных отношений, относящихся к обеспечению прав граждан на благоприятную окружающую среду и достоверную информацию о ее состоянии, закрепленное Конституцией России (статья 42), осуществляется также в части норм Федерального закона "О радиационной безопасности населения".

Важное значение для регулирования отношений при использовании ЭВМ и их компонент имеют законы Российской Федерации "О правовой охране программ для электронно-вычислительных машин и баз данных" регулируются отношения, связанные с созданием, правовой охраной и использованием программ для ЭВМ и баз данных, "О правовой охране топологий интегральных микросхем", закрепляющий понятия интегральной микросхемы (ИМС) и ее топологии (пространственно-геометрическое расположение совокупности элементов ИМС и связей между ними, зафиксированное на материальном носителе). В нем определены порядок правовой охраны ИМС и срок действия исключительного права на использование топологии.

Регулирование отношений, связанных с созданием и использованием произведений науки, литературы и искусства (авторское право), фонограмм, исполнения, постановок, передач организаций эфирного или кабельного вещания (смежные права), осуществляется в рамках закона РФ "Об авторском праве и смежных правах"

Важное значение для правовой деятельности в области связи имеет Федеральный закон "О связи", который определяет содержание взаимоувязанной сети связи Российской Федерации, представляющей комплекс технологически сопряженных сетей общего пользования и ведомственных сетей электросвязи на территории России, обеспеченный общим централизованным управлением, независимо от ведомственной принадлежности и форм собственности.

Специфические особенности регулирования процессов использования и обработки информации в области государственного управления, права, обязанности и ограничения, накладываемые на государственных служащих, в том числе и по информационному обмену отражены в федеральным законом "Об основах государственной службы".

Создание условий эффективного участия России в международном информационном обмене в рамках единого мирового информационного пространства, а также регулирования возникающих при этом информационных отношений осуществляется на основе действующего международного законодательства, важным компонентом которого является федеральный закон "Об участии в международном информационном обмене", который устанавливает порядок (во взаимодействии с другими федеральными законами и нормативными правовыми актами) международного обмена конфиденциальной, массовой информацией и других видов информации. При этом не затрагиваются отношения, регулируемые Законом РФ "Об авторском праве и смежных правах".

Важным направлением обеспечения информационной безопасности информационной сферы и в целом государства является защита носителей ценной информации. Наряду с рассмотренными выше нормативными правовыми актами, регулирующими такую защиту, следует рассмотреть Закон РФ "О ввозе и вывозе культурных ценностей". Этот закон направлен на сохранение культурного наследия народов России. В нем основными формами предметов защиты являются носители информации: старинные книги, издания, представляющие особый интерес (исторический, художественный, научный и литературный); редкие рукописи и документальные памятники; архивы, включая фото-, кино-, видео и др.

Важным направлением развития отечественного законодательства в информационной сфере является формирование и развитие единого информационно-правового пространства, обеспечивающего донесение правовой информации до каждого гражданина, удовлетворение информационных потребностей различных социальных структур. Практическая реализация этого направления осуществляется в рамках Концепции правовой информатизации России, утвержденной Указом Президента РФ 28 июня 1993 г. № 966. Важным этапом по реализации этой концепции стала президентская программа "Правовая информатизация органов государственной власти Российской Федерации"

Правовая информатизация России - процесс создания оптимальных условий максимально полного удовлетворения информационно-правовых потребностей государственных и общественных структур, предприятий, организаций, учреждений и граждан на основе эффективной организации и использования информационных ресурсов с применением прогрессивных технологий.

В целях дальнейшего совершенствования управления Архивным фондом России и усиления взаимодействия органов государственной власти в работе по его исполнению, обеспечению сохранности и использованию в интересах граждан, общества и государства были введены в действие следующие нормативные правовые акты:

Основы законодательства Российской Федерации об Архивном фонде Российской Федерации и архивах (1993 г.);

Положение об Архивном фонде России и Положение о Государственной архивной службе России (Росархив) (Указ Президента Российской Федерации № 552 от 17 марта 1994);

Положение об Архиве Президента Российской Федерации (Указ Президента России от 25 марта 1994 г. № 151-рп) в котором определено понятие архива.

Архив – специализированное подразделение Администрации Президента, в котором осуществляется постоянное хранение и использование документов, образовавшихся в результате деятельности Президента и структурных подразделений Администрации.

Развитие различных сфер деятельности государства, эффективное проведение экономических реформ, расширение спроса на информацию со стороны органов государственной власти, предпринимателей, населения потребовали изменения сбора статистической информации. Регулирование этой деятельности осуществляется рядом актов, среди которых можно выделить Федеральную целевую программу "Реформирование статистики в 1997-2000 годах" (Постановление Правительства России от 23 ноября 1995г. № 1410), постановление "О развитии системы муниципальной статистики" (Постановление Правительства России от 28 октября 1995 г. № 1044).

Регулирование информационных отношений области добывания и обработки разведывательной информации, а также защиты государственной тайны, в том числе и должностных лиц, являющихся ее носителями осуществляется федеральными законами "Об органах федеральной службы безопасности Российской Федерации" и "О внешней разведке", "О государственной охране". В последнем законе определен состав федеральных органов государственной охраны, в которые входят Служба безопасности Президента РФ и Федеральная служба охраны (ФСО) РФ (ст.12). На федеральные органы государственной охраны возложен ряд обязанностей: проведение оперативно-технического, рационального и противоэпидемического контроля на охраняемых объектах, противодействие утечке информации по техническим каналам (совместно с ФАПСИ, ст. 14).

Задачи, принципы, способы и средства правового регулирования деятельности по обеспечению фельдъегерской связи, представляющую составную часть сил и средств обеспечения информационной безопасности России отражены в законе "О Федеральной фельдъегерской связи". В рамках этого закона определены задачи и функции Государственной фельдъегерской службы России.

Правовое регулирование информационных отношений, возникающих в деятельности органов внутренних дел, регулируется, наряду с рассмотренными выше нормативными правовыми актами, законом "О милиции" и Федеральным законом "Об оперативно-розыскной деятельности". Как субъект оперативно-розыскной деятельности, правоохранительные органы, в соответствии с Федеральным законом "Об оперативно-розыскной деятельности" наделены широкими полномочиями по сбору информации "о событиях или действиях, создающих угрозу государственной, военной, экономической или экологической безопасности Российской Федерации".

Рассмотренные нормативные акты, составляют часть законодательства в сфере обеспечения информационной безопасности. Формирование законченного информационного законодательства является задачей дальнейшего исследования объектов и направлений деятельности в информационной сфере и сфере информационной безопасности, методов, способов и средств обеспечения информационной безопасности.

Глава 8. ЗАКОНОДАТЕЛЬСТВО ОБ ИНТЕЛЛЕКТУАЛЬНОЙ СОБСТВЕННОСТИ

Вопросы:

1. Защита интеллектуальной собственности в информационной сфере и сфере информационной безопасности

2. Основные положения патентного права

3. Законодательство о ноу-хау

4. Роль договорного законодательства в области обеспечения информационной безопасности

Место и роль трудовых соглашений в области обеспечения информационной безопасности

8.1. Защита интеллектуальной собственности в информационной сфере и сфере информационной безопасности

1. Основные понятия интеллектуальной собственности

Защита открытой информации, доступ к которой имеет неограниченное количество потенциальных пользователей, является составной частью процесса обеспечения информационной безопасности личности и регулируется законодательством об интеллектуальной собственности.

Интеллектуальная собственность (англ. intellektual property):

1) исключительные права на литературные, художественные, и научные произведения, программы для ЭВМ и базы данных;

2) смежные права на изобретения, промышленные образцы, полезные модели, а также приравненные к результатам интеллектуальной деятельности средства индивидуализации юридического лица (фирменные наименования, товарные знаки, знаки обслуживания) и другие результаты интеллектуальной деятельности и средства индивидуализации, охрана которых предусмотрена законом.

Интеллектуальная собственность в международных соглашениях, а также в законодательстве некоторых государств включает права, относящиеся к литературным, художественным и научным произведениям, исполнительской деятельности артистов, звукозаписи, радио- и телепередачи (авторские права), научным изобретениям, открытиям и другими правам, связанные с различными видами промышленной собственности, а также с защитой от недобросовестной конкуренции.

Понятие интеллектуальной собственности впервые введено в 1967 году на Стокгольмской конференции Конвенцией об учреждении Всемирной организации интеллектуальной собственности (ВОИС), вступившей в силу в 1979 году. Под эгидой ВОИС действуют различные специализированные союзы.

Интеллектуальная собственность представляет открытую информацию, рассматриваемую как специфический вид товара, отличающийся от вещественных объектов отсутствием фактора материального старения и ростом ценности при расширении масштабов использования.

При защите интеллектуальной собственности важное место занимают методы и средства, представляющие систему защиты открытой информации в сфере высоких технологий двойного предназначения, которые ориентированы на коммерческую сферу деятельности, получение значительного экономического эффекта.

Особенностью защиты интеллектуальной собственности является ориентация на индивидуальный аспект, т.е. защиту экономических интересов отдельных граждан, их групп, не имеющих статуса юридического лица. Известно, что в бывшем советском законодательстве понятие интеллектуальной собственности не применялось. Защита результатов творческой деятельности как объекта интеллектуальной собственности охраняется авторским правом, законодательством о промышленной собственности и о "ноу-хау". При этом право интеллектуальной собственности защищается способами:

1) закрепления факта создания произведения;

2) регистрации формулы (содержания) изобретения;

3) фиксации и сохранения в тайне результатов творчества.

Первый и второй способы обеспечивают защиту информации, создаваемой в процессе творчества и сопровождающей этот процесс и дополнительной защиты не требуют. Эти способы являются результатом защиты, представленной в форме произведения, описания результата творчества (патента на изобретение (промышленного образца) или свидетельства на полезную модель). Сохранение в тайне информации о результатах производства, науки требует защиты.

Правоотношения в области защиты интеллектуальной собственности регулируются Гражданским кодексом Российской Федерации и другими законами. Они определяют правовое положение участников гражданского оборота, основания возникновения и порядок осуществления исключительных прав на результаты интеллектуальной деятельности (интеллектуальной собственности). Использование результатов интеллектуальной деятельности, как объектов исключительных прав, может осуществляться третьими лицами только с согласия правообладателя. Результатами интеллектуальной собственности, в отношении которых возникают гражданские правоотношения представляют произведений науки, литературы, искусства, изобретения и др., и является видом объектов гражданских прав.

1. Структура и содержание законодательства

об интеллектуальной собственности

Основой законодательства об интеллектуальной собственности являются конституционные нормы о праве свободно искать, получать, предавать, производить и распространять информацию любым законным способом, о гарантии свободы литературного, художественного, научного, технического и других видов творчества, преподавания, об охране законом интеллектуальной собственности.

Структуру законодательства в области защиты интеллектуальной собственности составляют: Конституция РФ, законодательство об авторском праве и смежных правах, патентное законодательство, законодательство о "ноу–хау", договорное законодательство, законодательство о конкуренции и ограничении монополистической деятельности на товарных рынках.

3. Законодательство об авторском праве и смежных правах

Авторское право (англ. copyright) – часть гражданского права, регулирующая отношения, возникающие в связи с использованием произведений науки, литературы, искусства.

Авторское право, как совокупность правовых норм, регулирующих отношения, между объектами и субъектами права, возникающие при создании произведения, отличается от права собственности, которое можно осуществлять лишь в отношении материальных объектов, где собственник имеет абсолютное право на этот объект. Объекты авторского права нематериальны, и исключительное право подвергается изъятиям и ограничениям.

Так как интеллектуальная собственность неотделима от материальной формы ее носителя, существует проблема определения соотношения права на произведение как нематериальный объект, и права на носитель как материальный объект. Субъекты этих прав различны и могут не совпадать. Для ИС право собственности на сети, как физический объект не дает авторского права на циркулирующую в них информацию. Обычное копирование информации может привести к нарушениям авторского права. В законодательстве об авторском праве определены объекты права, сроки их защиты, права авторов и других правообладателей, условие необходимости заключения договоров на приобретение прав.

Основу законодательства об авторских правах составляют: законы Российской Федерации "Об авторском праве и смежных правах", "О правовой охране программ для электронных вычислительных машин и баз данных", "О правовой охране топологий интегральных микросхем" и другие нормативные правовые акты.

Закон Российской Федерации "Об авторском праве и смежных правах" регулирует отношения, возникающие в связи с созданием и использованием произведений науки, литературы и искусства (авторское право); фонограмм, исполнении, постановок, передач организаций эфирного или кабельного вещания (смежные права).

Условия распространения авторского права: 1) на обнародованные произведения; 2) на не обнародованные произведения; 3) на произведения первого и второго видов и при обязательно представленных, в какой–либо объективной форме (письменной, устной, звуко- или видеозаписи; изображения; объемно–пространственной и др.

Условия распространения авторского права определяются и относительно территории его возникновения и гражданства автора:

на территории России, независимо от гражданства авторов и их правопреемников;

за пределами России признается за гражданами России и их правопреемниками;

за пределами России признается за авторами и их правопреемниками – гражданами других государств, в соответствии с международным договором России;

произведение считается опубликованным в России, если в течение 30 дней после даты первого опубликования за ее пределами оно было опубликовано на территории России.

Распространение авторского права возникает в силу факта создания произведения. Возникновение и осуществление авторского права не требует регистрации произведения, иного специального оформления или соблюдения каких–либо формальностей. При предоставлении на территории России правовой охраны произведения в соответствии с международным договором, автор произведения определяется по закону государства, на территории которого имел место юридический факт, послуживший основанием для обладания авторским правом.

Объекты авторского права:1) первичные произведения, в том числе литературные (включая программы для ЭВМ); 2) вторичные, т.е. производные произведения (переводы, обработки, аннотации, рефераты, резюме, обзоры, другие переработки произведений науки, литературы, искусства), а также сборники и другие составные произведения, представляющие собой по подбору и расположению материала результаты творческого труда (энциклопедии, антологии, базы данных).

Не являются объектами авторского права:

официальные документы (законы, судебные решения, иные тексты законодательного, административного и судебного характера), их официальные переводы;

сообщения о событиях и фактах, имеющих информационный характер;

идеи, методы, процессы, системы, способы, концепции, принципы, открытия, факты.

Субъекты авторского права (правообладатели) – автор, его наследник, любое физическое или юридическое лицо, которое обладает исключительными имущественными правами, полученными в силу закона или договора. В отличие от патентного права для признания и осуществления авторского права не нужны депонирование, регистрация или выполнение иных формальностей. Автором признается физическое лицо или группа физических лиц, в результате творческой деятельности которых созданы рассматриваемые объекты.

Авторское право на базу данных, состоящую из материалов, не являющихся объектами авторского права принадлежит лицам, её создавшим. В противном случае необходимо согласие авторов на включение этих данных в общую базу.

Не признаются авторами: 1) физические лица, не внесшие личного творческого вклада; 2) физические лица, оказавшие только техническую, организационную или материальную помощь, в том числе в оформлении документов.

Знак охраны авторского права состоит из трех элементов: 1) латинской буквы (С) в окружности; 2) имени (наименования) обладателя исключительных авторских прав; 3) года первого опубликования произведения.

Охрана авторских прав осуществляется бессрочно. Эти права являются неприкосновенными. В отношении защищаемых разработанных произведений, автору в соответствии с законом принадлежат:

1) личные неимущественные права: право авторства; право на имя, псевдоним или анонимность, на неприкосновенность, целостность, как самого объекта, так и их названий от всякого рода искажений, способных нанести ущерб чести и достоинству автора, на обнародование произведения, защиту своей репутации;

2) имущественные права: исключительные права на использование произведения в любой форме и любым способом, в частности право на воспроизведение, распространение, право публичный показ, на передачу в эфир, перевод, переработку. Личные неимущественные права принадлежат автору независимо от его имущественных прав и сохраняются за ним в случае уступки исключительных прав на использование произведения.

Имущественные права могут быть переданы полностью или частично любому лицу по договору, заключенному в письменной форме. Он устанавливает объемы и способы использования объекта, порядок и размеры выплаты вознаграждения, срок действия. Имущественные права переходят по наследству. Особенности предоставления имущественных прав определятся случаями выполнения служебных обязанностей, заданий работодателя или работ по договору с заказчиком. При этом права принадлежат работодателю или заказчику, если договором не предусмотрено иное, а получение вознаграждения, порядок его выплаты и размер указываются в договоре между автором и работодателем.

Официальное установление приоритета и обеспечение защиты авторских прав, по аналогии с патентной системой, осуществляется добровольной регистрацией объектов охраны в соответствующем органе с определенными затратами в виде регистрационных сборов.

Исключительное авторские право – право, при котором автор для оповещения о своих правах использует знак охраны авторского права на каждом экземпляре произведения.

Нарушением исключительного авторского права использования является факт применения объектов авторского права в коммерческих целях для извлечения прибыли. Если лицо правомерно владеет экземпляром объекта, то оно имеет право на свободное воспроизведение, адаптацию, декомпилирование и другое действия, не преследующие извлечение коммерческой выгоды.

Срок действия авторского права определяется в течение всей жизни автора и 50 лет после его смерти. Для произведения выпускаемого периодически анонимно или под псевдонимом авторское право действует 50 лет с момента выпуска в свет.

За нарушения авторских и смежных прав предусмотрены виды ответственности: гражданская, уголовная, административная. В случаях нарушения авторских прав, автор или правообладатель имеет право требовать: 1) признания прав; 2) прекращения действий, нарушающих права или создающих угрозу его нарушения; 3) возмещения причиненных убытков, в размер которых включается сумма неправомерно полученных доходов; 4) выплаты вместо возмещения убытков по решению суда, арбитражного или третейского суда компенсации в сумме до 50000–кратного размера минимальной месячной оплаты труда; 5) взыскания штрафа в размере 10% от суммы возмещения или компенсации в пользу бюджета РФ; 6) конфискации, на основе решения суда, неправомерно используемых объектов, а также материалов или оборудования для неправомерного воспроизведения.

Нарушитель авторского права – лицо, не выполняющие требования законодательства в отношении исключительных прав правообладателей, в том числе ввозящие в Россию экземпляры программ или баз данных, изготовленных без разрешения их правообладателей.

Контрафактные экземпляры – экземпляры произведения, изготовление или использование которых влечет за собой нарушение авторского права, в том числе ввозимые в Россию из государства, в котором эти произведения никогда не охранялись или перестали охраняться.

4. Законодательство о правовой охране программ электронных

вычислительных машин и баз данных

Основу законодательства в этой области составляют закон Российской федерации "О правовой охране программ для электронных, вычислительных машин и баз данных", законодательные акты ведомств, субъектов Российской Федерации. Законодательство регулирует отношения, связанные с созданием, правовой охраной и использованием программ для ЭВМ и баз данных.

Объекты права - программы для ЭВМ, базы данных.

Программам для ЭВМ предоставляется правовая охрана как произведениям литературы, а базам данных – как сборникам. Авторское право распространяется на следующие объекты:

на любые – как выпущенные, так и не выпущенные в свет – программы для ЭВМ и базы данных, представляющие результат творческой деятельности автора в объективной форме, независимо от их материального носителя, назначения и достоинства;

на все виды программ для ЭВМ, в том числе на операционные системы и программные комплексы, которые могут быть выражены на любом языке в любой форме, включая исходный текст и объектный код;

на базы данных, представляющие собой результат творческого труда по подбору и организации данных. Базы данных охраняются независимо от того, являются ли данные, на которых они основаны или которые они включают, объектами авторского права.

Возникновение авторского права на рассмотренные объекты определяется фактом их создания. Его признание и осуществление не требует депонирования, регистрации или соблюдения иных формальностей. Оповещение о своих правах правообладатель может осуществить, используя знак охраны авторского права. Особенностью рассматриваемого авторского права является то, что оно не связано с правом собственности на их материальный носитель и любая передача прав на материальный носитель не влечет за собой передачи каких–либо прав на объекты. Автору принадлежат личные неимущественные права и имущественные права.

Не подлежат правовой охране и не являются объектами авторского права: идеи и принципы, лежащие в основе программы для ЭВМ; базы данных или какие–либо их элементы, в том числе идеи и принципы организации интерфейса и алгоритма; языки программирования.

Начало действия авторского права определяется с момента создания объекта права в течение всей жизни автора и 50 лет после его смерти, считая с 1 января года, следующего за годом смерти автора. Личные права автора охраняются бессрочно. Обладатель всех имущественных прав непосредственно или через своего представителя в течение срока действия авторского права может по своему желанию зарегистрировать программу для ЭВМ или базу данных путем подачи заявка в Российское агентство по правовой охране программ для ЭВМ, баз данных и топологии интегральных микросхем. Использование объектов права третьими лицами (пользователями) осуществляется, как правило, на основании договора с правообладателем. Защита авторского права может осуществляться в судебном порядке, в том числе арбитражным и третейским судами.

Основные нарушения авторских прав и иных правообладателей: 1) изготовление; 2) воспроизведение; 3) распространение; 4) продажа; 5) ввоз или иное использование, либо предназначенные для использования в нарушение прав авторов и иных правообладателей; 6) выпуск под своим именем чужой программы или базы данных. В отношении этих контрафактных (изготовленных или используемых с нарушением авторских прав) экземпляров программ, баз данных, материалов и оборудования, используемых для их воспроизведения, суд или арбитражный суд может вынести решения: о конфискации, об их уничтожении; передаче в доход республиканского бюджета РФ; передаче истцу по его просьбе в счет возмещения убытков; об аресте в порядке, установленном законом; об уголовной ответственности в соответствии с законом (в случаях выпуска под своим именем чужой программы или базы данных либо незаконного воспроизведение или распространения таких произведений).

Учитывая формы представления программы для ЭВМ могут быть отнесены к документированной информации, т.е. как зафиксированной на любом носителе информации с реквизитами, позволяющими ее идентифицировать. Тогда в соответствии с Федеральным законом "Об информации, информатизации и защите информации", программа подлежит защите, если неправомерное обращение с ней может нанести ущерб ее собственнику, владельцу, пользователю или иному лицу.

Авторское право на базу данных, состоящую из материалов, не являющиеся объектами авторского права, принадлежит лицам, создавшим базу данных и признается при условии соблюдения авторского права на каждое из произведений, включенных в эту базу данных. Законом осуществляется защита только подбор и расположение материала, включаемого в состав базы данных. База данных как объект правоотношений охраняется правом на защиту интеллектуальной и вещной собственности.

5. Правовая охрана элементов вычислительной техники

Правовая защита современных вычислительных средств, разработанных на основе микропроцессорных технологий осуществляется на основе закона "О правовой охране топологий интегральных микросхемы" и других нормативных правовых актов, регулирующих отношения, связанные с созданием, правовой охраной и использованием топологий микропроцессорных систем.

Топология интегральной микросхемы – это зафиксированное на материальном носителе пространственно–геометрическое расположение совокупности элементов интегральной микросхемы и связей между ними.

Интегральная микросхема (ИМС) – это микроэлектронное изделие окончательной или промежуточной формы, предназначенное для выполнения функции электронной схемы, элементы и связи которого нераздельно сформированы в объеме и /или на поверхности материала, на основе которого изготовлено изделие.

Объект правовой защиты – оригинальная топология ИМС, созданная в результате творческой деятельности автора и признаваемая оригинальной до тех пор, пока не доказано обратное.

Не являются объектами правовой охраны: идеи, способы, системы, технология или закодированная информация, которые могут быть воплощены в топологии.

Автором топологии признается физическое лицо или каждое из нескольких физических лиц, в результате творческой деятельности которого (совместной деятельности которых) она была создана. Порядок пользования правами, принадлежащими нескольким авторам топологии или иным правообладателям, определяется договором между ними. Автору принадлежит исключительное право использовать разработанную топологию по своему усмотрению и в частности:

путем изготовления и распространения ИМС с такой топологией;

запрещать использование топологии и ИМС другим лицам без соответствующего разрешения, за исключением случаев, предусмотренных законом.

Не признаются авторами физические лица: 1) не внесшие личного творческого вклада в создание топологии; 2) оказавшие автору только техническую, организационную или материальную помощь; 3) способствовавшие оформлению права на использование топологии.

Виды действий, приводящие к нарушению исключительного права:

копирование топологии или ее части путем ее включения в ИМС или иным образом, за исключением копирования только той ее части, которая не является оригинальной;

применение, ввоз, предложение к продаже, продажа и иное введение в хозяйственный оборот топологии или ИМС с этой топологией.

Основные положения правового регулирования имущественных прав на топологию:

1. права могут быть переданы полностью или частично другим физическим или юридическим лицам по договору;

2. права на топологию, созданную в ходе выполнения служебных обязанностей или по заданию работодателя, принадлежат работодателю, если договором между ним и автором не предусмотрено иное;

3. автор топологии или иной правообладатель может по своему желанию непосредственно или через своего представителя зарегистрировать топологию в Российском агентстве по правовой охране программ для ЭВМ, баз данных и топологий интегральных микросхем путем подачи заявки на официальную регистрацию топологии ИМС;

4. исключительное право на использование топологии действует в течение десяти лет;

5. за защитой своего права автор может обратиться в установленном порядке в суд, арбитражный или третейский суд. Суд или арбитражный суд может вынести решение о конфискации незаконно изготовленных экземпляров ИМС и изделий, включающих такие ИМС, а также материалов и оборудования, используемых для их изготовления и об их уничтожении либо о передаче их в доход республиканского бюджета Российской Федерации либо истцу по его просьбе в счет возмещения убытков;

6. автор или иной правообладатель может испрашивать правовую охрану топологии в зарубежных странах.

Проблемы в области защиты интеллектуальной собственности в системе правового обеспечения информационной безопасности:

защита результатов творческой деятельности, идей, методов, концепций и другие;

совершенствование законодательства об авторском праве и смежных правах следует в части обеспечения реализации личных неимущественных и имущественных прав на документированную информацию как на произведение при работе в трансграничных информационных и других сетях;

защита исключительных прав на информацию ИТКС.

8.2. Основные положения патентного права

1. Основные положения патентных правоотношений

Основой патентного законодательства, регулирующего правоотношения в системе защиты объектов промышленной собственности и патентов является Патентный закон Российской Федерации и другие нормативные правовые акты.

Патент (лат. Littoral Patenis) – открытая грамота, которая отличается от обычной тем, что ее содержание можно продемонстрировать, не взламывая печать.

Патент – как документ, удостоверяет монопольное (исключительное) право на производство и продажу определенного вида товара или услуг.

Сферой действия патентного законодательства являются: 1) регулирование имущественных отношений; 2) регулирование личных неимущественных отношений, возникающих в связи с созданием, правовой охраной и использованием объектов промышленной собственности.

Основные объекты промышленной собственности: изобретения; полезные модели; промышленные образцы.

Изобретение (англ. invention) – новое, обладающее существенными отличиями техническое решение задачи в любой области экономики, социального развития, культуры, науки, техники, обороны, дающее положительный эффект и удовлетворяющее некоторым критериям патентоспособности.

Объекты изобретения: устройство; способ; вещество; штамм микроорганизма; культуры клеток растений и животных; применение известного ранее устройства, способа, вещества, штамма по новому назначению.

Не признаются патентоспособными изобретениями: научные теории и математические методы; методы организации и управления хозяйством; условные обозначения, расписания, правила; методы выполнения умственных операций; алгоритмы и программы для вычислительных машин; проекты и схемы планировки сооружений, зданий, территорий; решения, касающиеся только внешнего вида изделий, направленные на удовлетворение эстетических потребностей; топологии интегральных микросхем; сорта растений и породы животных; решения, противоречащие общественным интересам, принципам гуманности и морали.

Полезные модели – технические решения, представляющие конструктивное исполнение средств производства и предметов потребления, их составных частей, отвечающие требованиям патентоспособности.

Не подлежат правовой защите как полезные модели: способы; вещества; штаммы микроорганизмов; культур клеток растений и животных, а также их применение по новому назначению.

Промышленные образцы – только художественно–конструкторские решения, определяющие внешний вид изделия.

Предоставление правовой защиты промышленному образцу осуществляется при соответствии его требованиям патентоспособности.

Не признаются патентоспособными промышленными образцами: решения, обусловленные исключительно технической функцией изделия; объекты архитектуры (кроме малых архитектурных форм), промышленных, гидротехнических и других стационарных сооружений; печатная продукция; объекты неустойчивой формы из жидких, газообразных, сыпучих или им подобных веществ; изделия, противоречащие общественным интересам, принципам гуманности и морали.

Не представляется правовая охрана изобретениям, полезным моделям, промышленным образцам, содержащих сведения составляющие государственную тайну. Обращение с ними регулируется специальным законодательством Российской Федерации.

Права собственников подтверждаются: патентами на изобретение; промышленным образцом; свидетельством на полезную модель. Эти документы удостоверяют приоритет, авторство и исключительное право на использование патентоохраняемой информации, вещные и связанные с ними личные неимущественные отношения, возникающие в связи с созданием, правовой охраной и использованием изобретений, полезных моделей и промышленных образцов (объекты промышленной собственности). Начало срока действия патента (свидетельства) определяется с момента поступления авторской заявки на изобретение (полезную модель, промышленный образец) в Патентное ведомство, где фиксируются год, месяц, день, час и минута.

Сроки действия документов: 1) патент на изобретение действует в течение 20 лет; 2) на промышленный образец – 10 лет; 3) свидетельство на полезную модель – 5 лет. Сроки действия патента на промышленный образец и свидетельство на полезную модель могут быть продлены, но не более чем, соответственно, на 5 и 3 года.

2. Показатели патентоспособности

Правовая защита объектов промышленной собственности осуществляется, если они удовлетворяют показателям патентоспособности. Для изобретения такими показателями являются: 1) новизна; 2) наличие изобретательского уровня; 3) промышленная применимость.

Новизна изобретения – установленный принцип мировой новизны, согласно которому заявка отклоняется, если существенные признаки формулы изобретения включают общедоступные в мире до даты приоритета сведения.

Общедоступные сведения – все заявки кроме отозванных, при условии их раннего приоритета и за исключением информации конфиденциального характера.

Изобретательский уровень – степень соответствия содержания изобретения результатам творческой работы и не следование содержания явным образом для специалиста из общедоступных знаний.

Особенность показателя – его неоднозначность в силу субъективности содержания понятия "творчество", что затрудняет определение факта наличия или отсутствия изобретательского уровня на стадии патентной экспертизы.

В патентном законодательстве иностранных государств для оценки изобретательского уровня промышленных образцов применяются аналогичные показатели: неочевидность, оригинальность, которые означают существенные признаки, обуславливающие творческий характер эстетических особенностей изделия. Для полезных моделей подобный критерий вообще не применяется.

Промышленная применимость – установление того, что техническое решение может быть использовано в промышленности, сельском хозяйстве, здравоохранении и других областях деятельности.

Показатель позволяет классифицировать и установить подробные перечни объектов, которые могут быть признаны изобретениями и объектов, которые не являются патентоспособными и не защищаются патентным законодательством. В основе такой классификации лежит возможность реализации технического решения в виде материального объекта либо его применения по новому назначению. Этот показатель позволяет выделить совокупность существенных признаков, отражающих изобретательский замысел. Объективный характер этих признаков позволяет провести техническую экспертизу и на ее основе отклонить или удовлетворить заявку авторов.

Для определения полезной модели приняты показатели новизны и промышленной применимости.

Новизна полезной модели – неизвестность из уровня развития техники совокупности существенных признаков модели.

Промышленная применимость полезной модели – возможность использования модели в промышленности, сельском хозяйстве, здравоохранении и других отраслях.

Этот критерий позволяет оценивать возможность многократного воспроизведения образца путем производства соответствующего изделия.

Новый промышленный образец – образец, у которого совокупность его существенных признаков, определяющих эстетические и (или) эргономические особенности изделия, не известна из сведений, ставших общедоступными в мире до даты приоритета промышленного образца.

Оригинальный промышленный образец – образец, у которого его существенные признаки обусловливают творческий характер эстетических особенностей изделия.

Промышленно применимый промышленный образец – образец, который может быть многократно воспроизведен путем изготовления соответствующего изделия.

3. Формула изобретения

Формула изобретения – важнейшая составная часть заявки и патента, определяющая объем правовой охраны, предоставляемой патентом.

Требования к формуле изобретения: 1) сжатость формы выражения сути технического решения в полном объеме; отражение новизны изобретения. Реализация этих требований достигается использованием двух групп существенных признаков: известных (ограничительных) и новых (отличительных).

Группа известных (ограничительных) признаков является общей для изобретения и ближайшего прототипа - единственного аналога. Группа новых (отличительных) признаков характеризует отличие изобретения от прототипа. Ограничительная и отличительная части формулы разветвляются словами "отличающийся", а сама она по традиции представляет собой одно предложение.

Защита изобретения, представленного несколькими формами (приложениями) осуществляется многозвенной формулой, в которой первый главный пункт (предложение) включает общие для всех форм признаки, а в дополнительных "зависимых" пунктах описываются частные формы изобретения. Дополнительные пункты развивают, уточняют, конкретизируют как отдельные признаки, так и их различные совокупности, что отмечается соответствующими ссылками.

4. Субъекты правоотношений

Субъектами правоотношений патентного законодательства являются авторы и патентообладатели.

Автором изобретения, полезной модели, промышленного образца признается физическое лицо, творческим трудом которого они созданы, а при создании объекта промышленной собственности несколькими физическими лицами, все они считаются его авторами.

Порядок пользования правами, принадлежащими авторам, определяется соглашением между ними. При отсутствии такого соглашения каждый автор может использовать изобретение по своему усмотрению, но не вправе передать свои права третьему лицу без согласия остальных авторов.

Не признаются авторами физические лица:

1) не внесшие личного творческого вклада в создание объекта промышленной собственности;

2) оказавшие автору (авторам) только техническую, организационную или материальную помощь;

3) способствовавшие только оформлению прав на него и его использование.

Право авторства является неотчуждаемым личным правом и охраняется бессрочно.

Правообладателем выступает лицо, которому выдан патент, в том числе:

• автор (авторы) изобретения, полезной модели, промышленного образца;

• физическое или юридическое лицо, которые указаны автором (авторами) или его (их) правопреемником в заявке на выдачу патента либо в заявлении, поданном в Патентное ведомство до момента регистрации изобретения, полезной модели, промышленного образца;

• работодатель, в случае, если изобретение, полезная модель, промышленный образец, созданные работником при выполнении им своих служебных обязанностей или полученного от работодателя конкретного задания, если договором между ними не предусмотрено иное. При этом автор изобретения имеет право на вознаграждение, соизмеримое выгоде, получаемой или, может быть полученной от исключительного права использования объекта промышленной собственности.

Право на вознаграждение сохраняется и в случае, если работодатель решил сохранить объект в тайне и по причинам, зависящим от него, не получил патент. Сумма и условия вознаграждения определяются соглашением между работодателем и автором. Право патентообладания для работодателя действует в течение четырех месяцев после уведомления автором о созданном им объекте. После этого автор имеет право сам подать заявку и получить патент на свое имя. При этом за работодателем остается право использования объекта в собственном производстве, но остается и обязанность выплаты патентообладателю компенсации, определяемой на договорной основе.

Конфликтные ситуации при определении правообладателя рассматриваются в особом порядке, а виновный несет ответственность в соответствии с гражданским законодательством Российской Федерации. Законодательство также предусматривает введение дополнительных законодательных актов, регулирующих иные отношения в связи с созданием служебных изобретений.

Автор может передавать свои права только на использование объекта промышленной собственности. Само же "право авторства является неотчуждаемым личным правом и охраняется бессрочно".

На государственном уровне правом патентообладания пользуется Федеральный фонд изобретений России, который приобретает их на договорной основе и реализует в интересах государства.

5. Механизм патентной защиты

Правовая защита патента состоит в обеспечении патентообладателю принадлежащего ему исключительного права на использование объекта промышленной собственности по своему усмотрению, если такое использование не нарушает прав других патентообладателей. Продукт (изделие) признается изготовленным в соответствии с патентом, если в нем использован каждый признак, включенный в независимый пункт формулы.

Факты нарушения исключительного права патентообладателя:

1) любое хозяйственное использование охраняемых сведений, вплоть до хранения продукта, содержащего объект промышленной собственности;

2) несанкционированное изготовление, применение, ввоз, предложение к продаже, продажа, иное введение в хозяйственный оборот или хранение с этой целью продукта, содержащего запатентованное изобретение, полезную модель, промышленный образец;

3) применение способа, охраняемого патентом на изобретение, или введение в хозяйственный оборот либо хранение с этой целью продукта, изготовленного непосредственно способом, охраняемым патентом на изобретение. При этом новый продукт считается полученным запатентованным способом при отсутствии доказательств противного.

Нарушитель патента – любое физическое или юридическое лицо, использующее изобретение, полезную модель или промышленный образец, защищенные патентом с нарушением Патентного закона.

По требованию патентообладателя нарушение должно быть прекращено, а виновные лица обязаны возместить причиненные убытки в соответствии с гражданским законодательством. В случае присвоения авторства, принуждения к соавторству, незаконного разглашения сведений об объекте промышленной собственности виновные привлекаются к уголовной ответственности.

Патентная охрана сведений относится к открытым системам защиты информации, характеризующихся коммерческим характером правоотношений, которые регулируются механизмом передачи права на использование объекта промышленной собственности на основе лицензионных договоров, согласно которым патентообладатель обязуется предоставить другому лицу право на использование в объеме, предусмотренном в договоре. Такое лицо обязуется обеспечить соответствующую компенсацию в виде платежей или иных услуг. В зависимости от объема передаваемых прав различают исключительные и неисключительные (простые) лицензии.

Исключительная лицензия предполагает передачу исключительного права

Простая лицензия – предполагает использование объектов промышленной собственности в оговоренных пределах.

Открытая лицензия – предполагает наличие заявления патентообладателем согласия на передачи права любому лицу. В этом случае на 50% снижается госпошлина на поддержание патента, но условие передачи прав по лицензионному договору сохраняется. Передача патента или других прав требует государственной регистрации соответствующих договоров. В противном случае по закону они считаются недействительными.

Патентная система обеспечивает правую защиту прав отдельных собственников и защиту интересов общества и государства, что определяется следующими положениями:

1. в случае не использования или недостаточного использования изобретения и промышленного образца в течение четырех лет, для полезной модели в течение трех лет, возможна выдача исключительной принудительной лицензии любому лицу, готовому использовать охраняемый объект;

2. право преждепользования, не признаваемое нарушением исключительного права на использование, когда любое лицо, начавшее использование до даты приоритета или сделавшее для этого необходимые приготовления, сохраняет право пользования на дальнейший срок на безвозмездной основе без расширения объема. Возможна и передача права преждепользования, но только совместно с производством, на котором это право используется;

3. Правительству Российской Федерации разрешено использовать объекты промышленной собственности без согласия патентообладателя с выплатой ему соразмерной компенсации.

6. Алгоритм патентования

Первым этапом, представляющим начало процесса патентования начинается с составления заявки на изобретение, на выдачу патента. Состав заявки: 1) заявление на бланке установленной формы, выдаваемом Всероссийским научно–исследовательским институтом государственной патентной экспертизы (ВНИИГПЭ); 2) описание изобретения, раскрывающие его с полнотой, достаточной для промышленного применения; 2) формула изобретения; 3) чертежи и иные материалы; 4) реферат.

Процесс движения заявки на выдачу патента: подача заявки автором, работодателем или их правопреемником в Патентное ведомство; по истечении двух месяцев со дня поступления заявки Патентное ведомство проводит по ней формальную экспертизу; принятие решения о выдаче патента Патентным ведомством и публикация в своем официальном бюллетене сведений о выдаче патента; одновременно с публикацией Патентное ведомство вносит в Государственный реестр изобретений РФ, Государственный реестр полезных моделей РФ или Государственный реестр промышленных образцов РФ соответствующие изобретение, полезную модель или промышленный образец и выдает патент лицу, на имя которого он направляется; в течение двух месяцев со дня поступления заявки в патентное ведомство заявитель имеет право вносить в ее материалы исправления и уточнения без изменения сущности изобретения.

Материалы признаются изменяющими сущность, если они содержат дополнительные признаки изобретения, отсутствовавшие в первичной заявке. Допускается прощение двухмесячного срока при условии уплаты соответствующей пошлины, но не позднее вынесения решения по результатам заявки по существу. Заявка может быть отозвана, причем заявление об отзыве должно быть подано до публикации сведений о ней, но не позднее даты регистрации изобретения.

Очередным этапом патентоведения (по истечении двухмесячного срока) является проведение формальной экспертизы, которая может быть начата и ранее по ходатайству заявителя, однако в этом случае он лишается права на исправление и уточнение документов заявки по своей инициативе без уплаты пошлины.

При формальной экспертизе проверяется, наличие необходимых документов, правильность оформления документов, отнесение заявленных сведений к патентоспособным объектам, соответствие оформления заявки требованиям. В случае нарушения последних, заявителю направляется запрос с предложением об исправлении.

Основаниями для запросов могут быть нарушения: 1) требований к формату листов; 2) размерам полей; 3) неудовлетворительное качество печати, затрудняющее прочтение материалов и др.

Ответ на запрос предоставляется в двухмесячный срок с момента его получения заявителем. Срок может быть продлен по ходатайству заявителя с уплатой соответствующей пошлины. При отсутствии ответа на запрос в установленные сроки заявка считается отозванной.

Установление приоритета изобретения осуществляется в процессе формальной заявки по дате поступления заявки в Патентное ведомство. Решение о положительном результате формальной экспертизы и установлении приоритета либо о непатентноспособности объекта сообщается заявителю. В двухмесячный срок на отрицательное решение может быть подано возражение в Апелляционную палату Патентного ведомства, которое рассматривается в двухмесячный срок.

При проведении формальной экспертизы заявленные сведения могут быть отнесены к сведениям, составляющим государственную тайну или другим конфиденциальным сведениям. В этом случае правовая защита будет осуществляться в соответствии с Законом о государственной тайне и другими нормативными правовыми актами.

Публикация сведений по заявке Патентным ведомством осуществляется по истечении 18 месяцев со дня поступления заявки при условии положительного решения по формальной экспертизе. После чего с ней может быть ознакомлено любое лицо. По ходатайству заявителя публикация может быть произведена и раньше указанного срока.

Особенностью системы патентования является наличие второй стадии экспертизы - отсроченной экспертизы, при которой выдача охранного документа осуществляется только после проверки на соответствие критериям охраноспособности.

Явочная система регистрации является противоположностью отсроченной и предполагает выдачу патентов без проверки заявки на новизну и изобретательский уровень, то есть выдачу под риск заявителя.

Особенности отсроченной экспертизы: факт публикации не отозванных заявок; экспертиза по существу начинается только после направления соответствующей просьбы (ходатайства в Патентное ведомство) и уплаты пошлины; заявление может быть направлено как заявителем, так и третьими лицами; если ходатайство о проведении экспертизы по существу не поступает в течение трехлетнего периода, заявка считается отозванной.

Отсроченная экспертиза позволяет заявителю использовать трехлетний период для решения ряда следующих вопросов: 1) если заявитель не располагает средствами для уплаты пошлины, то он может попытаться найти покупателя на свое изобретение. Публикация сведений о заявке позволяет ознакомление любого лица с материалами заявки, а закон предусматривает с момента публикации временную правовую охрану; 2) одновременно, не будучи уверенным, в охраноспособности заявки, автор может заказать в Патентном ведомстве проведение информационного поиска сведений, позволяющих судить о новизне и изобретательском уровне заявки. Поиск проводится на мировом уровне в течение четырех месяцев со дня поступления ходатайства и уплаты пошлины. Дополнительная оплата сокращает срок поиска до трех месяцев. По результатам поиска можно: дать ходатайство на экспертизу по существу; отозвать заявку; перевести заявку на изобретение в заявку на полезную модель. Последние два варианта должны быть реализованы до публикации сведений об изобретении.

При положительном результате экспертизы: 1) принимается решение о выдаче патента; 2) при положительном льном решении о выдаче патента сведения о нем публикуются в официальном издании Патентного ведомства; 3) изобретение вносится в Государственный реестр изобретений РФ.

Отказ может быть обжаловано в Апелляционной палате в течение трех месяцев со дня его получения или копий материалов, на которые приводятся ссылки в решении. Возражение должно быть рассмотрено в четырехмесячный срок. Решение Апелляционной палаты может быть обжаловано в Высшей патентной палате в течение шести месяцев с момента ею получения. Решение последней является окончательным.

Коммерческий характер патентной системы, проявляется в следующем: только за предоставление правовой охраны, взимается пошлина, начиная с третьего года его действия, считая со дня поступления заявки; пошлина уплачивается и целый год действия патента в прогрессирующих размерах.

Патентование объектов промышленной собственности, созданных в России может проводиться в иностранных государствах, но не ранее, чем через три месяца после подачи заявки в Патентное ведомство. Если международным договором установлены иные правила, чем в российском законодательстве, то принимаются правила международного договора.

8.3. Законодательство о ноу-хау

В настоящее время говорить об относительно сложившемся законодательстве в области ноу−хау не представляется возможным в силу следующих обстоятельств: отсутствия действующего федерального или иных законов; неоднозначности содержания объекта правового регулирования; отсутствия правового опыта и др.

Однако, несмотря на эти обстоятельства, регулирование информационных отношений в области ноу−хау осуществляется на основе действующего законодательства в области защиты государственной, коммерческой и служебной тайны.

Особенностью рассматриваемого законодательства является его многосторонность, затрагивающая отношения связанные с защитой интеллектуальной собственности, коммерческой и государственной тайной. В силу этого рассмотрение законодательства в области ноу-хау может быть отнесено и к соответствующим разделам. Однако, рассматривая человека и его права как высшую ценность общества и государства, предлагается выделить указанную область в качестве приоритетного направления защиты интеллектуальной собственности в информационной сфере. Такое отнесение области ноу-хау не противоречит и концепции первоочередного соблюдения коммерческих интересов личности, общества и государства. Поэтому законодательство в области ноу-хау может рассматриваться и в рамках раздела о коммерческой тайне.

Для рассмотрения содержания изучаемого вопроса, а также возможных направлений формирования и развития законодательства в рассматриваемой области, целесообразно рассмотреть действующее законодательство, регулирующее отношения в области коммерческой и служебной тайны, а также проекты Федеральных законов "О коммерческой тайне" и "О служебной тайне" Так, ряд положений проекта Федерального закона "О коммерческой тайне", регулирует отношения юридических и физических лиц (в том числе иностранных), обладающих коммерческой тайной, в том числе и работодателей с их работниками и служащими по вопросу реализации и защиты права на коммерческую тайну.

Так, в гражданском законодательстве определено, что обладатель технической, организационной или коммерческой информации, составляющей секрет производства (ноу-хау), имеет право на защиту от незаконного использования этой информации третьими лицами при условии, что: эта информация имеет действительную или потенциальную коммерческую ценность в силу неизвестности ее третьим лицам; к этой информации нет свободного доступа на законном основании; обладатель информации принимает надлежащие меры к охране ее конфиденциальности; срок охраны ноу-хау ограничивается временем действия названных условий; лицо, неправомерно использующее ноу-хау, принадлежащее другому лицу, обязано возместить ему убытки; лицо, самостоятельно и добросовестно получившее такую информацию, вправе использовать ее без каких бы то ни было ограничений (ст.151).

В международной практикой принято, что передача (продажа) "ноу-хау" производится на основе лицензионных соглашений, которые являются одной из форм коммерческой реализации прав на интеллектуальную собственность, на основе договоров о передаче собственником на определенных условиях принадлежащих ему прав на информацию. Лицензионные соглашения широко используются в "открытых" системах защиты информации при охране патентов и авторских прав. Особенностью защиты "ноу-хау" является обязательное взаимное условие обеспечения конфиденциальности сведений, передаваемых собственником (лицензиаром) и получаемой пользователем (лицензиатом). В случае разглашения (передачи) сведений третьим лицам потерпевшая сторона может взыскать в судебном порядке возмещение убытков по факту несоблюдения договорных обязательств.

Система "ноу-хау" по содержанию является промежуточной между системой защиты информации, корпоративного, закрытого, ограниченного использования (например, системой защиты государственной тайны) и системой защиты информации доступной неограниченному кругу пользователей.

Так, известно, что доля беспатентных лицензий составляет до 50 процентов. К ним 25 процентов приходится на так называемые комплексные или смешанные лицензии, по которым в рамках одного соглашения (договора) наряду с патентными правами передаются сведения о "ноу-хау". На практике ознакомление лицензиата с "ноу-хау" происходит путем заключения предварительного (опционного) соглашения, главным условием которого является договоренность о соблюдении условий конфиденциальности и даже в случае, если по каким-то причинам лицензионное соглашение не состоялось. "Ноу-хау" - объект коммерческих отношений. Поэтому важнейшая задача лицензиара - умение определить их технико-экономическую значимость, или, т.е. рыночную стоимость специфического вида продукции. Принято, что общий принцип решения этой задачи, основан на разделении прибыли, полученной от использования "ноу-хау" между лицензиатом и лицензиаром на основе переговоров. Здесь решение конфликтных ситуаций может осуществляться в арбитражном или третейском суде. Арбитражное производство позволяет производить его в условиях конфиденциальности и дает возможность привлечь к разрешению спора экспертов в области охраны промышленной собственности. Арбитражное производство более быстрое и дешевое по сравнению с судебным разбирательством. Правовой базой производства служит действующее законодательство об арбитражном суде.

8.4. Роль договорного законодательства в области обеспечения информационной безопасности

Важное место в обеспечении информационной безопасности имеют договорные обязательства взаимодействующих сторон, регулирующие соответствующие правоотношения в той сфере.

Обязательства – особый вид гражданских имущественных правоотношений, содержание которых составляет право одной стороны требовать от другой совершения или воздержания от совершения определенных действий.

В этом параграфе рассматриваются те особенности договорного законодательства, которые связаны с научно–техническими, информационными видами деятельности, а возникающие обязательства возникают из договора или иных оснований, определяемых действующим договорным законодательством. При этом можно рассматривать несколько видов договоров.

1. Договор на создание (передачу) научно–технической продукции как, специфического вида товара является одним из основных видов договоров. Основной формой такого договора является подрядное проведение исследований, разработка образца нового изделия, новой технологии и т.д. Особенностью этой формы является обязательность оплаты заказчиком работ, практически независимо от результата. Развитие рыночных отношений в науке обусловило смену подрядной на такие формы как "купля–продажа", "поставка", характеризующиеся: 1) установлением параметров продукции в договоре; 2) возможной передачей работ до заключения договоров в случае инициативного их проведения. Последнее положение может быть использовано при практической реализации законодательства об охране интеллектуальной собственности в коммерческих целях при передаче патентов, авторских прав и правообладания.

2. Договор о присоединении − договор, приближающийся по содержанию к лицензионному соглашению в случае, массового тиражирования программы для ЭВМ, при условии, что пользователь не имеет возможности формулировать свои условия, обладая только правом применения типовых передаваемых экземпляров программы. Регулирование таких отношений осуществляется в рамках закона Российской Федерации "О правовой охране программ для ЭВМ и баз данных".

Важной формой договора о присоединении является так называемая оберточная лицензия, представляющая типовой договор правообладателя с конечным пользователем, вкладываемый в запечатанную упаковку с материальным носителем информации. Факт вскрытия упаковки расценивается как факт заключения договора. В противном случае пользователь должен вернуть документы, не вскрывая упаковки.

3. Договоры о взаимодействии партнеров в процессе использования интеллектуальной собственности относятся к инвестиционным договорам и договорам о совместной хозяйственной деятельности. Цель договоров - объединение усилий и потенциала разных субъектов. Правоотношения договорных отношений субъектов регулируются законом "Об инвестиционной деятельности", в котором определено, что обладатель объекта интеллектуальной собственности может:

1) стать участником договора путем передачи (вложения) своих прав в объекты предпринимательской деятельности;

2) рассчитывать на получение прибыли или части социального эффекта;

3) при совместной деятельности правообладатель, как хозяйствующий субъект, отвечает и за понесенные убытки, инвестируя только часть интеллектуальной собственности, которая имеет документальные подтверждения вносимых имущественных прав (патенты, лицензии, свидетельства о государственной регистрации и т.д.). Внесение просто интеллектуальных способностей является неправомерным.

4. Агентское соглашение − договор, при котором одна сторона от имени и за счет которой другая сторона осуществляет посредничество по их заключению.

Виды агентских соглашений предоставляемых агенту бывают простые, исключительные, исключительные с ограничениями.

Агентские соглашения подобны лицензионным, только действуют не в производственной сфере, а в прямой коммерции (торговле).

Рассмотренное разнообразие типов договоров имеет общие черты и содержание. Они регулируются нормами обязательственного права и устанавливают обязательства сторон, которые обеспечивают разрешение конфликтных ситуаций и в привлечении к ответственности виновной стороны.

Содержание и порядок заключения (расторжения) договора

Содержание договора – совокупность условий, формирующих и выражающих взаимосогласованное волеизъявление сторон.

Условия договора: 1) признанные таковыми по договору; 2) необходимые для договоров данного типа; 3) условия, относительно которых по заявлению хотя бы одной из сторон должно быть достигнуто соглашение.

В соответствии с нормами обязательного права к первой группе существенных условий относятся: 1) наименование сторон, их почтовые, телеграфные и банковские реквизиты; фамилия, имя, отчество, домашний адрес, паспортные данные и номер расчетного счета для физического лица; 2) наименование программного продукта; 3) права сторон по договору; 4) срок действия; 5) договорная цена; 6) порядок расчетов; 6) порядок разрешения споров; 7) условия и порядок расторжения договоров.

Вторую группу составляют условия, в отношении которых хотя и нет специального указания в нормативных актах, однако согласование их в договоре вытекает из особенностей природы данного вида договора. Для авторских договоров на программные продукты можно рассматривать следующие условия: 1) возможность передачи авторских прав; 2) условия соблюдения конфиденциальности; 3) права сторон на последующие модификации и усовершенствования; 4) обеспечение доступа к исходному коду; 5) порядок использования продукта третьими лицами и другие условия.

К третьей группе относятся дополнительные условия, существенные в силу факта предложения одной из сторон, при этом ни одна из сторон не должна оказаться в худших условиях, чем в условиях, установленных нормативными актами. К таким условиям относятся: 1) наименование этапов работ и сроков их выполнения; 2) порядок сдачи - приемки; 3) порядок поставки, установки и сопровождения; 4) условия, порядок и сроки обучения.

Содержание договора может составлять один или нескольких документов:

− текст договора с существенными условиями;

− приложения (техническое задание или условия, календарный план или программа работ, описания, спецификации, соглашение между авторами о распределении вознаграждения);

− дополнительные соглашения, возникающие в процессе выполнения работ.

Стороны по договору − физические, юридические лица, имеющие право на предмет договора в силу авторства или правообладания.

Для группы авторов заключается один договор, как в случае неделимости произведения, так и в тех случаях, когда авторство отдельных частей может быть персонифицировано. При одном авторском коллективе нескольких произведений, независимо от их взаимосвязи, договоры заключаются по каждому отдельному произведению.

Договоры могут заключаться представителями сторон по доверенности, заверенной нотариусом. В доверенности указываются все права на подписание договора, ведение переписки, согласование изменений и т.п.

С учетом действующего Гражданского кодекса прекращение договора, может происходить: 1) путем замены одного обязательства другим или в судебном порядке, в силу того, что односторонний отказ от исполнения обязательств и одностороннее изменение условий договора не допускаются. При заявлении одной стороны о расторжении договора и несогласии другой, конфликт может быть разрешен только в судебном порядке. До решения суда все обязательства, предусмотренные договором, сохраняются в силе; 2) в связи с невозможностью его выполнения по вине одной из сторон. При этом наступает ответственность виновной стороны; 3) в связи с возникновением форс–мажорных (непредвиденных) обстоятельств (стихийные бедствия, военные действия и т.д.); 4) в случае ликвидации одной из сторон юридического лица. Такое прекращение действует лишь на будущее и другая сторона вправе требовать выполнение обязательств на дату ликвидации. При необходимости конфликт разрешается в судебном порядке с привлечением экспертов.

8.5.Место и роль трудовых соглашений в области обеспечения информационной безопасности

Место и роль трудовых соглашений в системе обеспечения информационной безопасности определяются базовыми положениями трудового законодательства, основу которого составляет Кодекс законов о труде РСФСР (КЗОТ).

Трудовой договор - особый вид правоотношений, регулируемый отраслью трудового права.

В качестве особенности трудовых соглашений можно выделить то, что одна из сторон соглашения является физическим лицом, которое обязано выполнять нормы КЗОТ, положения Коллективного договора, правила внутреннего распорядка и других нормативных актов предприятия, что предполагает:

возникновение отношения работодатель - работник в виде вертикали подчиненности, в отличие от равноправной горизонтали заказчик - исполнитель (для гражданско–правовых договоров подряда);

несколько иной порядок рассмотрения трудовых конфликтов для вертикали подчиненности: сначала административный - внутри предприятия с участием профсоюзов и лишь затем - судебный, если конфликт неразрешен "по мировому". Такой порядок позволяет применять кроме имущественных санкций и меры дисциплинарной ответственности;

получение работником, как членом трудового коллектива, права на все льготы и социальные гарантии, установленные для сотрудников данного предприятия и данной профессии.

Применяемое понятие "контракт" по содержанию адекватно понятию "трудовой договор" в силу того, что контрактные отношения приобретают распространение и наиболее приемлемы для установления связей предприятие (работодатель) - работник, определяющих правоотношения.

Субъекты контрактных отношений

Права и обязанности субъектов контрактных отношений устанавливаются путем указания реквизитов договаривающихся сторон, в том числе:

со стороны предприятия - руководитель или уполномоченное на то должностное лицо, если его правомочия определяется Уставом, доверенностью руководителя или его приказом по организации;

с другой стороны - конкретное физическое лицо, обязующееся выполнять условия контракта и указывающее свои реквизиты - фамилию, имя, отчество, паспортные данные, адрес местожительства и др.

Физическое лицо, заключающее контракт, не может передоверить его заключение другому лицу. Если для выполнения какой-либо работы необходимы усилия творческого коллектива, то в этом случае контракты заключаются с каждым из его работников отдельно.

Должность работника по контракту определяется исключительно соглашением сторон, и он вправе претендовать, а работодатель вправе предоставлять любую из возможных должностей вне зависимости от квалификации, образования, стажа работы и других профессиональных качеств. Регламентация этого процесса предусмотрена Единым тарифно-квалификационным справочником, который носит рекомендательный, а не обязательный характер, за исключением случаев, когда выполнение работы требует обязательного специального образования.

Права и обязанности сторон действуют только в течение срока указанного в контракте. Назначение на должность со дня, установленного соглашением сторон, вступает в силу с момента подписания контракта.

К основным обязанностям работника можно отнести:

выполнение порученных заданий с результатами, исключающими претензии к качеству и срокам их выполнения. Определяются дополнительными документами: планами, графиками работ и т.д. Их невыполнение может явиться основанием для претензий со стороны работодателя и основанием для дисциплинарных санкций;

соблюдение режима работы и правил внутреннего распорядка организации;

обеспечение условия сохранения конфиденциальности информации, доступной по роду выполнения служебных обязанностей и представляющей коммерческую или иную тайну для работодателя в течение определенного срока действия. Определяется также дополнительными руководящими документами и имеет существенное значение для обеспечения информационной безопасности организации. При этом определяя обязанности контрактанта, накладываются обязательства и на работодателя в части поддержания государственных гарантий социальных норм и льгот,. связанных с доступом к работам и документам, составляющим различные виды тайны, что обязывает и работодателя обеспечивать минимально необходимые условия конфиденциальности;

соблюдение любых прав на интеллектуальную собственность третьих лиц, обеспечение которых способствует исключению нанесения коммерческого или иного ущерба организации. Обеспечивается страхованием со стороны работодателя организации от ущерба и предупреждением работника о правомерности иска третьих лиц в случаях нарушения патентного законодательства, авторского права, или другого соответствующего законодательства.

Разработка произведения, научного продукта, создаваемого контрактантом, квалифицируется законодательством об авторском праве как выполнение служебного задания. В этом случае произведение имеет следующий правовой режим: 1) авторское право принадлежит работнику; 2) право использования принадлежит работодателю, которое, по согласию с работником, указывается особым пунктом в контракте, а в особых условиях, указывается вид использования, территория, объем и т.д.; 2) по истечении трех лет с момента представления произведения автор является правообладателем в полном объеме; 3) отдельно указывается условие правомочности или неправомочности работодателя на модификацию или усовершенствование программного продукта или иного продукта без согласия с автором в определенный временной период. Таким способом закрепляется исключительное право автора на неприкосновенность произведения, которое является бессрочным, и потенциальная конфликтная ситуация должна быть снята соответствующим соглашением.

Содержание контракта включает:

1. обязательство по обеспечению или отказу от обязательства в пределах и сроках, оговоренных в особых условиях, сопровождению и обслуживанию созданных разработок;

2. обязанность предоставления исходных материалов, в том числе и по истечении срока действия контракта, по первому требованию работодателя.

Первое обязательство вытекает из отсутствия безусловной взаимосвязи между созданием программы и работ по ее обслуживанию и сопровождению, а второе - из необходимости защиты своих прав в случае искового заявления третьих лиц по мотивам компиляции или плагиата, которое возможно и после истечения контракта.

Оплата труда и вознаграждение работнику−автору произведения может состоять: 1) из должностного оклада в виде ежемесячной выплаты или авансированной части, учитываемой или не учитываемой при выплате вознаграждения по итогам работы в целом; 2) надбавки, доплаты и премии в соответствии с действующими положениями; 3) вознаграждения как доли прибыли (выручки, дохода) от коммерческого использования произведения (например, программного продукта).

В процессе согласовании условий оплаты труда, не существует, каких либо ограничений на размеры заработной платы и поощрительные вознаграждения. В отношении программ для ЭВМ нормативные ставки авторских вознаграждений не предусмотрены и могут применяться только договорные размеры. Можно выделить следующие формы вознаграждения: разовое, за фактические случаи использования или иное, смешанное. При исчислении размера вознаграждения учитываются затраты на создание продукта, объем его использования, экспертные оценки рыночной стоимости, срок использования произведения.

Условия расторжения контракта

Действующим законодательством предусматриваются условия расторжения контракта, основаниями которых являются: истечение срока контракта по умолчанию, по инициативе работника или работодателя без указания каких–либо причин; требования работника в случае его болезни, инвалидности, препятствующие выполнению своих обязательств; требования работника в случае невыполнения работодателем положений КЗОТ, самого контракта и другие уважительные причины; требования работодателя при наличии несоответствия работника занимаемой должности или выполняемой работе, за систематическое неисполнение своих обязанностей, прогулы и т.д.; ликвидация организации.

В случае появления оснований, не предусмотренных действующим законодательством, они записываются как невыполнение обязательств, указанных в конкретных пунктах контракта. При расторжении контракта в трудовой книжке производится запись "но соглашению сторон".

Особые условия указываются в контракте сторонами по согласованию, не должны противоречить законодательству и включают:

определенные условия, свидетельствующие о надлежащем исполнении согласованных обязательств;

установление специальных форм оплаты труда, премирования, сроков выплаты вознаграждения, санкций за нарушение сроков выплаты;

объем и сроки обеспечения работником сопровождения и обслуживания созданных программ;

допустимость, объем, сроки и характер модификаций и усовершенствований произведения;

определение выплат (вознаграждений) и соответствующих ставок налогообложения;

перечисление оснований, достаточных для расторжения контракта;

перечисление оснований для предъявления имущественных исков;

конкретизацию вида и объема использования произведения, созданного в порядке выполнения служебного задания;

возможности изменения условий контракта, которые могут быть исправлены только по соглашению сторон в письменной форме;

условия выплаты дополнительного пособия в случае расторжения контракта по инициативе работодателя.

Глава 9. ПРАВОВОЕ РЕГУЛИРОВАНИЕ ЗАЩИТЫ КОММЕРЧЕСКОЙ ТАЙНЫ

Вопросы:

1. Основные понятия и содержание коммерческой тайны

2. Определение сведений, составляющих коммерческую тайну

3. Методологические аспекты определения объекта защиты коммерческой тайны

4. Организация защиты коммерческой тайны

9.1. Основные понятия и содержание коммерческой тайны

Содержание понятия коммерческой тайны определяется содержанием объекта правовой защиты. Здесь возможны два варианта формирования такого содержания. Первый - в качестве объекта правового регулирования рассматриваются только сведения, относящиеся к конечному циклу деятельности организации по сбыту, получению и распределению прибыли без акцентирования внимания на процесс, цель получения, использования и распределения прибыли. При рассмотрении второго варианта объекта защиты рассматриваются сведения, относящиеся ко всему жизненному циклу деятельности организации и учитывающие цели, процесса получения, использования и распределения прибыли. На основании такого формирования содержания объекта защиты представляют интерес ряд норм действующего законодательства, относящиеся к содержанию понятия коммерческой тайны.

В конституционных нормах отражены:

• равное признание и защита частной, муниципальной и иных формы собственности (п.2 ст.8);

• право каждого на свободное использование своих способностей и имущества для предпринимательской и иной, не запрещенной законом деятельности (п.1 ст.34);

• запрещение экономической деятельности, направленной на монополизацию и недобросовестную конкуренцию (п.2 ст.34);

• правовая защита права частной собственности (п.1 ст.35);

• право каждого иметь имущество в собственности, владеть, пользоваться и распоряжаться им как единолично, так и совместно с другими лицами (п.2 ст.35);

• право каждого свободно искать, получать, передавать, производить и распространять информацию любым законным способом. Перечень сведений, составляющих государственную тайну, определяется федеральным законом (п.2 ст.29);

• ответственность в соответствии с действующим законодательством за сокрытие должностными лицами фактов и обстоятельств, создающих угрозу для жизни и здоровья людей (п.3 ст.41). Например, в Уголовном кодексе Российской Федерации (ст.140) предусматривается наказание за предоставление гражданину неполной или заведомо ложной информации (штраф или лишение права занимать определенные должности или заниматься определенным видом деятельности);

• гарантии каждому свободы литературного, художественного, научного, технического и других видов творчества, преподавания, правовая защита интеллектуальной собственности ( ст.44).

В Законе "О собственности в РСФСР" отражены следующие положения:

1. устанавливает объекты права собственности на продукты интеллектуального и творческого труда, в том числе: произведения науки, литературы, искусства, других видов творческой деятельности в сфере производства, в том числе открытия, изобретения, рационализаторские предложения, промышленные образцы, программы для ЭВМ, базы данных, экспертные системы, ноу-хау, торговые секреты, товарные знаки, фирменные наименования и знаки обслуживания. Информация, отражающая рассмотренные формы интеллектуальной собственности, может относиться к коммерческой тайне. Однако не все из перечисленных форм рассмотренных объектов, имеющих самостоятельную коммерческую ценность, отражены в действующих нормативных правовых актах. К таким объектам относятся: 1) рационализаторские предложения, которые не могут быть запатентованы, но имеют коммерческую ценность; 2) различные технологии; 3) ноу-хау; 4) деловая информация; 5) идеи; 6) замыслы, и т.д. Эта ценная информация, являясь носителем потребительской стоимости, может обеспечить собственнику возможность получать прибыль;

2. приято не считать коммерческой тайной общеизвестную информацию, идеи и сведения. Здесь возможны случаи:

• различения информации, имеющую коммерческую ценность, и представляющую научный интерес;

• обобщения общеизвестных идей, дающих комбинацию информации, обладание которой позволяет извлечь определенную выгоду;

3. осуществление права собственности не должно нарушать прав и охраняемых законом интересов других лиц. Ущерб, причиненный собственником вследствие злоупотребления своим монопольным положением, использование недобросовестных методов предпринимательства, конкуренции и совершения иных действий, ущемляющих права и охраняемые Законом интересы других лиц, подлежит возмещению в полном объеме (п.9 ст.2).

В Гражданском кодексе отражены следующие основные понятия:

• объекты гражданских прав - информация, результаты интеллектуальной деятельности, в том числе исключительные права на них (интеллектуальная собственность), и нематериальные блага (статья 128);

• нематериальные блага (наряду с другими) - доброе имя и деловая репутация, право на имя и авторство (статья 150);

• необходимость возмещения ущерба, нанесенного разглашением коммерческой тайны: "лица, незаконными методами получившие информацию, которая составляет служебную или коммерческую тайну, обязаны возместить причиненные убытки. Такая же обязанность возлагается на работников, разгласивших служебную или коммерческую тайну вопреки трудовому договору, в том числе контракту, и на контрагентов, сделавших это вопреки гражданско-правовому договору" (ст.139). В содержании понятия коммерческой тайны зафиксировало право собственника за защиту свои интересы во взаимоотношениях с государством, другими субъектами рыночных отношений;

• содержание понятия убытков - расходы, которые лицо, чье право нарушено, произвело или должно будет произвести для восстановления нарушенного права. Также под убытками подразумеваются утрата или повреждение имущества (реальный ущерб) лица, неполученные доходы, которые это лицо получило бы при обычных условиях гражданского оборота, если бы его право не было нарушено (упущенная выгода) (статья 15).

- положение по самозащите гражданских прав, связанных с защитой предпринимательской и коммерческой деятельности, права на информацию, в том числе и о коммерческой деятельности. Однако способы самозащиты должны быть соразмерны нарушению, и не выходить за пределы действий, необходимых для его пресечения (статья 14).

Важное значение для определения содержания коммерческой тайны и ее соотнесения с государственной тайной имеет закон РФ "О государственной тайне". Этот закон регулирует отношения, возникающие в связи с отнесением конфиденциальных сведений к государственной тайне, их рассекречиванием и защитой в интересах безопасности, в том числе:

• ограничивает права собственности на информацию в связи с ее засекречиванием, в том числе права собственника на распространение и использование сведений в коммерческих целях;

• предписывается возмещение собственнику за счет государства материального ущерба, размер которого определяется договором между собственником и данным органом государственного управления. В договоре предусматриваются обязательства собственника информации по ее распространению. При отказе собственника от подписания договора, он предупреждается об ответственности за несанкционированное распространение конфиденциальных сведений (статья 10);

• определяет порядок судебного решения конфликтных ситуаций.

Защита от незаконного получения и разглашения сведений, составляющих коммерческую или банковскую тайну регулируется также нормами Уголовного кодекса Российской Федерации (статья 183):

собирание сведений, составляющих коммерческую или банковскую тайны, путем хищения документов, подкупа или угроз, а равно иным незаконным способом в целях разглашения либо незаконного использования этих сведений предусматривает наказание в виде штрафа или лишения свободы;

незаконное разглашение или использование сведений, составляющих коммерческую или банковскую тайну, без согласия их владельца, совершенные из корыстной или иной личной заинтересованности и причинившие крупный ущерб, также наказываются штрафом или лишением свободы.

Важно, в рамках защиты коммерческой тайны выделить следующее содержание понятия информации.

Информация – один из важнейших видов продукта и товара на внутреннем и международном рынках, категория, имеющая действительную или потенциальную ценность, стоимость, как любой другой вид ценности, защищаемая собственником или владельцем.

Собственник защищаемой информации - юридическое или физическое лицо, которое по своему усмотрению владеет, пользуется и распоряжа­ется принадлежащей ему информацией.

Владелец защищаемой информации - юридическое или физическое ли­цо, которое имеет полномочия владеть, пользоваться и распоряжаться данной информацией по договору с собственником, в силу закона или решения административных органов.

В зависимости от типа владельца (собственника) выделяются и соответствующие виды защищаемой информации, таблица 9.1. Следует отметить, что государство не несет ответственность за сохранность личных тайн.

Таблица 9.1.

Соотношение типов собственников и видов защищаемой информации

Тип владельца (собственника) информации	Виды конфиденциальной информации
Государство, его органы	сведения, составляющие государственную, служебную тайну, другие виды защищаемой информации, принадлежащей государству, в том числе сведения, составляющие коммерческую тайну
предприятия, товарищества, акционерные общества, др.	Информация, являющаяся их собственностью и сос­тавляющая коммерческую тайну
общественные организации	партийная другие тайны, государственная и коммерческая тайна
граждане государства	переписка (тайна переписки), телефонные разговоры, телеграфные передачи сообщений, врачебная тайна, личные тайны

В рамках действующего закона «О предприятиях и предпринимательской деятельности» установлены права предпринимателя, как субъекта предпринимательской деятельности в сфере защиты информации:

привлекать на договорных началах и использовать финансовые средства, объекты интеллектуальной собственности и отдельные имущественные права граждан и юридических лиц (статья.16);

предприятие имеет право не предоставлять информацию, содержащую коммерческую тайну.

Перечень сведений, составляющих коммерческую тайну, определяется руководителем предприятия. Перечень сведений, которые не могут составлять коммерческую тайну, определяется Советом Министров РСФСР (п.2 ст.28). К коммерческой тайне не может быть отнесена информация, содержащая государственную тайну, а также сведения о деятельности служащих государственного аппарата в негосударственных организациях.

Постановлением Правительства РФ от 5 декабря 1991 г. №35 был объявлен Перечень сведений, которые не могут составлять коммерческую тайну. К ним были отнесены сведения: 1) содержащиеся в учредительных документах и уставах предприятий, организаций, других документах, дающих право заниматься предпринимательской деятельностью (регистрационные удостоверения, лицензии и т.д.); 2) сведения по установленным формам отчетности о финансово-хо­зяйственной деятельности и иные сведения, необходимые для проверки правильности исчисления и уплаты налогов; 3) документов о платежеспособности, уплате налогов; 4) содержащиеся в годовых отчетах, бухгалтерских балансах и других формах годовой бухгалтерской отчетности; 5) сведения о численности и составе работающих, их заработной плате и условиях труда, а также о наличии свободных рабочих мест; 6) сведения о загрязнении окружающей среды, нарушении антимонопольного законодательства, несоблюдении безопасности условий труда, а также других нарушениях законодательства РФ; 7) связанные с реализацией продукции, причиняющей вред здоровью населения, а также с другими нарушениями законодательства Российской Федерации, законодательства субъектов РФ и с размерами причиненных при этом убытков.

Действие постановления не распространяется на сведения, относящиеся в соответствии с международными договорами к коммерческой тайне, а также те сведения о деятельности предприятия, которые в соответствии с действующим законодательством составляют государственную тайну.

Защита интересов субъектов информационных отношений в условиях конкуренции и монополий производства, товарного рынка осуществляется в рамках законов «О конкуренции и ограничении монополистической деятельности на товарных рынках», «О защите прав потребителей», нормы которых запрещают: распространение ложных, неточных или искаженных сведений, способных причинить убытки другому хозяйствующему субъекту, либо нанести ущерб его деловой репутации; введение потребителей в заблуждение относительно характера, способа и места изготовления, потребительских свойств, качеств товара, некорректное сравнение хозяйствующим субъектом и в процессе его рекламной деятельности производимых или реализуемых им товаров с товарами других хозяйственных субъектов; самовольное использование товарного знака, фирменного наименования или маркировки товаров, а также копирование формы, упаковки, внешнего оформления товара другого хозяйствующего субъекта; получение, использование, разглашение научно-технической, производственной или торговой информации, в том числе коммерческой тайны, без согласия ее владельца и др.

Анализируя содержание гражданского законодательства и, в частности содержание понятия предпринимательской деятельности, как самостоятельной, осуществляемой на свой страх и риск деятельности, направленной на систематическое получение прибыли от пользования имуществом, продажи товаров, выполнения работ или оказания услуг лицами, зарегистрированными в этом качестве в установленном законом порядке" (ч.1 ст.2), можно отметить, что понятие коммерческой тайны неразрывно связано с разновидностью деятельности – коммерческой деятельностью, которая характеризующейся: 1) основной целью - извлечение прибыли участниками деятельности; 2) систематической направленностью деятельности на получение прибыли; 3) самостоятельностью и осуществлением деятельности на страх и риск предпринимателя; 4) распределением полученной прибыли между участниками предпринимательской деятельности.

Институт коммерческой тайны является: не меньшей общественной потребностью, чем система защиты государственных секретов; не только непременным атрибутом рыночной экономики, но и деятельности внешнеторговых организаций государства, обязанных приносить прибыль государству.

В нашей стране впервые на государственном уровне положение о коммерческой тайне было закреплено в законе "О предприятиях СССР" (ст.33):

Коммерческая тайна предприятия - не являющиеся государственными секретами сведения, связанные с производством, технологической информацией, управлением, финансами и другой деятельностью предприятия, разглашение (передача, утечка) которых может нанести ущерб его интересам, а их состав, объем, порядок защиты определяются руководителем предприятия.

Право предприятий и предпринимателей на коммерческую тайну закреплено и в Декларации прав и свобод человека и гражданина (п.2 ст.13), где в числе видов информации ограниченного доступа наряду с государственной, личной, семейной, профессиональной указана и коммерческая тайна.

Содержание понятий коммерческой банковской тайн определено Гражданским кодексом (ст.139).

Служебная или коммерческая тайна – информация, которая имеет действительную или потенциальную коммерческую ценность в силу неизвестности ее третьим лицам, к которой исключается свободный доступ на законном основании и обладатель информации принимает меры к охране ее конфиденциальности

В Кодексе определено, что:

сведения, которые не могут составлять служебную или коммерческую тайну, определяются законом и иными правовыми актами;

информация, составляющая служебную или коммерческую тайну, защищается способами, предусмотренными настоящим Кодексом и другими законами.

В отношении банковской тайны (ст. 857) определено: 1) банк гарантирует тайну банковского счета и банковского вклада, операций по счету и сведений о клиенте; 2) сведения, составляющие банковскую тайну, могут быть представлены только самим клиентам или их представителям; 3) государственным органам и их должностным лицам такие сведения могут быть предоставлены исключительно в случаях, предусмотренных законом; 4) в случае разглашения банком сведений, составляющих банковскую тайну, клиент, права которого нарушены, вправе потребовать от банка возмещения причиненных убытков.

Эти положения позволяют утверждать, что банковская тайна должна рассматриваться, как разновидность коммерческой, поскольку ее разглашение может привести к недополучению прибыли или принести убытки банку. В качестве обоснования такого утверждения, являются «Акт о коммерческой тайне», принятый Американской Ассоциацией юристов (1979 г.), «Практика защиты коммерческой тайны в США». В них, определено, соответственно, содержание коммерческой тайны.

Коммерческая тайна - информация, включая формулу, состав, комбинацию, программу, приспособление, метод, технику или процесс, которая:

1. имеет самостоятельную экономическую стоимость (используемую или потенциальную) благодаря тому, что не является общеизвестной или доступной людям, которые могут использовать ее в коммерческих целях;

2. является объектом разумных при данных условиях усилий по ее защите".

Коммерческая тайна - информация, включающая формулы, образцы, состав, компиляции, программы, приспособления, методологию, технику или технологию, которая:

а) представляет самостоятельную экономическую стоимость (используемую или потенциальную) вследствие своей уникальности и за счет невозможности ее получения законным путем другими лицами, которые могут получить экономический эквивалент от ее использования или раскрытия;

б) является объектом действий, которые обоснованны при обстоятельствах, требующих сохранения ее в тайне.

В рамках действующего законодательства, в том числе и о предприятиях, установлено ряд понятий, в том числе коммерческой тайны предприятия, которая поставлена в один ряд понятиями государственной, личной, семейной, профессиональной тайны. Тем самым на государственном уровне:

1. закреплено право собственности коллектива на информационный ресурс;

2. признано, что использование информационного ресурса может принести прибыль, а разглашение - нанести серьезный экономический ущерб;

3. указано на необходимость защиты информационного ресурса;

4. отдано право на определение объема защищаемых сведений коллективу, а в частности, его руководству.

При этом действующая нормативная правовая база Российской Федерации подтверждает приоритетность государственных секретов над коммерческой тайной предприятия и возможность перехода из одной формы в другую. Коммерческой тайной предприятия не должна быть информация, сокрытие которой может нанести ущерб обществу. Так, в законе РСФСР "О предприятиях и предпринимательской деятельности", в частности, определены виды информации, которые предприятие представляет государственным органам: информация, необходимая для налогообложения и ведения общегосударственной системы сбора и обработки экономической информации; предприятие публикует сведения своей деятельности, включая годовые балансы в порядке, устанавливаемом законодательством. В тоже время, предприятие имеет право не знакомить налоговые, природоохранительные, антимонопольные и другие государственные органы, на которые законодательством РФ возложена проверка деятельности предприятия, с материалами, не относящимися к предмету их контроля. К коммерческой тайне предприятия можно отнести все, что не запрещено законом, полезно в предпринимательской деятельности и дает преимущество над конкурентами, не обладающими ею. Основные признаки сведений, относимых к коммерческой тайне: 1) отсутствие принадлежности к сведениям, включенным в перечень сведений, составляющих государственную тайну; 2) отсутствие принадлежности к сведениям, включенным в постановления правительства о невозможности их охраны институтом коммерческой тайны; 3) неотносимость к фактам и обстоятельствам, создающим угрозу для жизни и здоровья людей; 4) непринадлежность к личной и семейной тайне; 5) неизвестность третьим лицам; 6) связанность с производством, технологией, управлением, финансами и другой деятельностью предприятия; 7) способность приносить прибыль; 8) способность нанесения ущерба при разглашении (передаче, утечке); 9) наличие самостоятельной экономической ценности (потенциальной или реальной), до момента известности третьим лицам; 10) защищенность владельцем; 11) определенность состава, объема, порядка защиты владельцем; 12) неотносимость к сведениям, представляющим чисто научный интерес (идеи, не дающие прибыли); 13) сравнимость с энергоресурсами, материальными запасами; 14) используемость для производства товаров, услуг; 15) наличие стоимости, обеспечивающей продажу, потерю стоимости во времени, не будучи реализованными; 16) способность теряться (похищаться, разглашаться, модифицироваться); 17) повышенная ценность относительно из всей собственности предприятия; 18) беззатратность или затратность несоизмеримо меньшая, чем услуга или продукт, произведенный с использованием сведений; 19) наличие реального или потенциального преимущества в конкурентной борьбе; 20) наступление ответственности за несанкционированное получение.

Научно-техническая, деловая информация может не классифицироваться как коммерческая тайна в случаях нецелесообразности защиты из-за ее, а дороговизны, трудности охраны, отсутствия возможностей, а также в связи с возможностью использования сведений в рекламной деятельности. Если информация, описывающая отрицательные результаты поисковых работ, непроизводительные, дорогостоящие методы имеет потенциальную стоимость, она может являться предметом тайны предприятия.

Права обладателя не будут нарушены, если конкуренты получат секретные сведения в процессе исследований (реконструирования) изделия, приобретенного законным путем или информацию о деятельности коммерческой структуры. Известны методы научно-технического прогнозирования открытых сведений, (Иванов М.Н., Пахомова А.С. Подход к прогнозированию направлений промышленного шпионажа в отношении конкурентно-способных изделий/Вопросы защиты информации, №2(27), 1994. С 31-33) позволяющие получить информацию конфиденциального характера, таблица 9.2, а также легальные методы сбора сведений, составляющих коммерческую тайну:

Таблица 9.2.

Методы научно-технического прогнозирования открытых сведений

Методы	Исходная информация	Прогнозируемая информация
Экстраполяции тренда и авторегрессии	1) значения характеристик, ретроспективного периода развития; 2) информация о предыстории развития нового объекта-системы	расчет численных значений характеристик на заданный момент времени и оценка точности прогнозирования
Корреляционного анализа	1) совокупность значений характеристик систем-аналогов; 2) набор известных харак-теристик нового образца	1)вид взаимосвязи характе-ристик; 2) расчет значений неизвест-ных характеристик
Анализа опережающей информации	темпы научно-технических публикаций, тематика па-	направления научно-техни-ческих прорывов, формиро-вание облика нового изделия
Построения сценариев и морфологического анализа	совокупной информации о фирме-разработчике и рынках сбыта	варианты облика нового об-разца, оценка диапазона воз-можных значений его хара-ктеристик, определение наи-более вероятных факторов, определяющих конкуренто-способность изделия и подлежащих уточнению и конкретизации

1) приобретение открытой литературы, периодических изданий, в том числе брошюр, статей, проспектов, рекламных изданий; 2) выведывание информации у граждан на официальных приемах, симпозиумах, конференциях, при частных встречах; 3) направление запросов в различные организации и учреждения, анкетирование и т.п.; 4) визуальное наблюдение при поездках под благовидным предлогом; 5) сбор материалов из открыто экспонируемых экспонатов выставок и ярмарок, пояснений на стендах, выступлений на съездах, конференциях, из объявлений о конкурсах, вакансиях и др.; 6) проникновение в банки данных о предприятиях, организациях; 7) изучение рынка, в том числе по публикациям в периодичес­кой и деловой печати; 8) изучение материалов судебного разбирательства предприятия, являющегося конкурентом, если оно оказалось одной из сторон судебного разбирательства.

Конфиденциальная информация может передаваться на коммерческой основе другому предприятию путем заключения договор о ее неразглашении. При этом оба обладателя такой информации обязаны обеспечить ее охрану.

В современной экономике информация является товаром и подчиняется законам товарно-денежных отношений. Неправомерное овладение чужими информационными ресурсами является наиболее опасной формой недобросовестной конкуренции. Защита коммерческой тайны является одним из условий получения предприятием максимальной прибыли, предотвращения банкротства, обеспечения экономической безопасности предприятия, неразрывно связанной с личными интересами персонала.

С учетом рассмотренных понятий и положений можно представить следующее определение коммерческой тайны.

Коммерческая тайна - специально охраняемая владельцем документированная или зафиксированная на определенных носителях информация, касающаяся деятельности организации или предприятия, представляющая для владельца ценность исходя из реализуемого им вида деятельности, стоящих перед ним целей и не подпадающая под ограничения, вводимые государством.

9.2. Определение сведений, составляющих коммерческую тайну

Коммерческая деятельность предполагает сохранение в тайне от посторонних лиц сведений, способных в значительной степени ослабить экономические по­зиции предприятия или нанести ему невосполнимый экономический ущерб. Целью защиты коммерческой тайны является предотвращение утечки, хищения, утраты, искажения, подделки информации, составляющей коммерческую тайну. Обладателям коммерческой тайной, предоставляется право на судебную защиту от незаконного получения, владения и использования этой информации другими физическими и юридическими лицами. Ответственность за правонарушения в области права на коммерческую тайну, определяется в соответствии с законодательством Российской Федерации. С учетом этого, существует проблема определения содержания конкретных сведений, ко­торые должны быть отнесены к коммерческой тайне предприятия. Право на определение содержания и отнесение сведений к коммерческой тайне предоставляется: должностным лицам либо органу, занимающемуся коммерческой деятельностью, юридическому лицу, которые в силу закона или учредительных документов юридического лица имеют право выступать от его имени; физическим лицам, осуществляющим предпринимательскую деятельность без образования юридического лица.

Можно выделить следующие основные методологические подходы к определению со­става и содержания этих сведений:

1. исходя из модели интересов конкурентов, проявляемых к объекту и предмету защиты и информации о них;

2. исходя из системы ценностей защищаю­щего на основе модели ценностей объекта и предмета защиты и их информацион­ного представления;

3. на основе обобщенной модели, построен­ной с учетом достоинств и недостатков двух указанных подходов.

В отечественном и зарубежном законодательстве отсутствует единый подход к классификации коммерческой тайны:

в законодательстве о предприятиях, определены такие виды коммерческой информации как производственная, технологическая информация, управленческая, финансовая, иная;

в гражданском законодательстве названы три вида коммерческой информации, составляющие секрет производства: технологическая, организационная, коммерческая;

в Практике защиты коммерческой тайны в США выделяется группы технологическая и деловая информация

Технологическая информация - коммерческая информация, включающая все секреты, которые характеризуют производство, техническую и технологическую стороны деятельности предприятия.

Деловая информация коммерческая информация, включающая сведения, связанные с планированием производства и сбытом продукции.

Методики выделения из общего объема собственной информации предприятия ее конфиденциальной части могут базироваться на основе:

содержания процесса произ­водства товаров (услуг), практики конкурентной борьбы, что обу­словлено влияющими на конкурентоспособность факторами, которые могут приносить положительные результаты при условиях их сокрытия от производителей-соперни­ков;

учета закономерностей рыночных от­ношений, в частности, закона стоимости, где спрос на продукцию всецело регули­рует предложение, в том числе количество, и качество производимых товаров, и их стои­мость;

предположения, что получение прибыли является одной из глав­ных задач коммерческой деятельности, а сама прибыль - важнейшим показателем деятельности. В качестве цели деятельности рассматривается: максимальное удов­летворение потребителей при минимальной себестоимости изготовления и опти­мальной рентабельности производства; учета потребностей, состояния и динамики общественного спроса и рыночной конъюнктуры при принятии решений; создания условий для максимального приспособления производства к требованиям рынка, структуре общественного спроса; воздействия на рынок, покупателей с помощью всех доступных средств и, прежде всего, с помощью рекламы.

Различают информационную значимость коммерческой тайны, входящей в состав таких элементов конкуренции, как неценовых факторов ценовые и неценовые факторы.

Известно, что в коммерческой деятельности ценовые факторы обеспечивают около 30%, а неценовые - 80% торгового успеха. К последним относятся: 1) эксплуатационные характеристики, 2) дизайн товара и др. Отсюда можно говорить о преимущественном значении ценности коммерческой тайны предприятия, отражающей эксплуатационные характеристики или дизайн товара, его качество. Виды ценной, подлежащей защите информации: сведения о силах, средствах и условиях защиты экономических секретов; данные, используемые для нанесения ущерба репутации предприятия; информация о кадрах (текучесть, оплата, меры поощрения, ведущие специалисты, места их работы по совместительству и т. п.); сведения об обороте предприятий; сведения о производственных, коммерческих и финансово-кредитных отношениях с партнерами; научно-технический потенциал предприятия; информация об уровне и организация производства; размеры и технический уровень производственных мощностей и технологии; информация о ценовой политике; сведения о сбытовой политике (времени поставок), рекламной деятельности, планах по формированию спроса на товар, объем продаж, планируемые периоды и места появления новых товаров на рынке, пути товародвижения; сведения, связанные с изучением запросов (требований) покупателей на предполагаемый к выпуску товар, а также перспективный прогноз; данные о соответствии продукции конкурента характеру и структуре общественного спроса; информация о незащищенности патентами изобретений, использованных в товаре; сравнительные характеристики собственного ассортимента с конкурирующими товарами с точки зрения качества, внешнего вида, дополнительных сервисных услуг, упаковки и т. д.; результаты изучения потребителя (оценки привычек, реакции на новый товар); емкость и доступность рынка, условия торговли, возможность получать информацию о рынке, активность конкурентов и т. д.; расчеты цен и обоснование сделок, контрактная цена товара или услуг, размеры представленных скидок до и после контрактов; кредитные условия и условия платежа; детальная расшифровка предмета лицензий при купле-продаже; технология изготовления, перспективные технологические процессы, технологические приемы и оборудование, в том числе и переданное предприятию в условленном порядке; модификация и модернизация ранее известных технологий, процессов; характеристика предприятий и организаций как торговых партнеров (основные производственные фонды, товарооборот, прибыль, кредиты и т. п.); планы предприятия по расширению производства (кроме оговариваемых в переговорах); состояние программного обеспечения; факты ведения переговоров по вопросу купли-продажи с какой-либо из других фирм; новые разработки, которые не пущены в серию и не относятся к категории госсекретов; перспективные методы управления производством; конкретные направления в торговой политике и т. д.

Объекты промышленного шпионажа - документы, записи, отчеты, протоколы, чертежи, материалы, образцы, штаммы микроорганизмов, модели, приборы, вещества и другие источники информации, принадлежащие предприятию и составляющие его тайну, в виде формул, технических проектов, ноу-хау, результатов научных исследований, программного продукта, произведений эстетического характера, а также калькуляции издержек производства, структура цены, контрактов, данных о поставщиках и клиентах, сведений о конфиденциальных деловых переговорах, обзоров рынка, маркетинговых исследований, планов развития предприятия, их инвестиций и иных сведений, представляющих предпринимательский интерес.

Важное место в защите торгово-экономической сферы принадлежит защите сведений о выгодных контрактах их льготных платежах, о самом контракте, об условиях платежей. Нераспространение такой информации, ее засекречивание, достижение определенной договоренности о неразглашении сведений с контрагентом и т. п., затрудняет действия потенциального конкурента.

Предметом защиты в связи с заключением и реализацией контракта являются: объемы экспортных поставок и услуг по контрактам; цена на поставляемые товары и услуги; валютно-финансовые условия контрактов; суммы валютных поступлений от реализации контрактов. Подлежит защите при заключении контрактов информация: 1) о платежеспособности контрагентов (а также субподрядчиков и субпоставщиков) и получении гарантий расчета; 2) наличии гарантий добросовестного сотрудничества, возможности применения к ним действенных экономических санкций; 3) привязке покупаемой технологии, уникального оборудования к выпуску монопольных материалов; 4) возможности использования технологии, оборудования для выпуска уже устаревших, экономически вредных, технически не отработанных, дорогостоящих изделий; 5) поставках оборудования, технологии, обеспечивающих единство проведения работ с отечественными и зарубежными партнерами; 6) наличии финансовых затруднений у контрагента.

Основные показатели и критерии классификации конфиденциальной информации: важность информации для достижения прибыли в конкурентной борьбе; выигрыш во времени по отношению к конкурентом; скорость развития технологий; скорость сокращения сроков между исследованиями и их реализацией на практике; относительные затраты ресурса для получения информации (трудозатраты, время, людские, материальные ресурсы, силы, средства и др.); уровень монополии предприятия на информацию по данной технологии; степень очевидности использования информации конкурентом в случае ее опубликования; возможность и сроки самостоятельного получения технологии конкурентами; возможности предприятия по защите экономических секретов; степень скрытия сведений о проводимых работах по изготовлению конкурентоспособных изделий и скрытие их основных характеристик; преимущество технико-экономических характеристик образца изделия перед изделиями конкурента; уникальность разработки и необычность применения материалов технологических процессов, создающих реальные условия для появления существенных преимуществ.

Признаками для поиска конфиденциальной информации, составляющей коммерческую тайну являются сведения о собственной научно-технологической и деловой информации предприятия, отражающей реальные и возможные преимущества выпускаемого товара. Такие сведения представляют основные управляемые предприятием маркетинговые средства и факторы, которые включают: цену товара (издержки производства); товар (качество, новые товары); время и место продажи; система продвижения товара на рынке; время поставок; послепродажное обслуживание (сервис).

Характерные черты современной конкуренции: 1) неценовые факторы; 2) предельное сокращение времени на создание новинок.

Основу неценовой конкуренции составляют не цена товара, а его качество, сервисное обслуживание, репутация фирмы. При этом качество товара рассматривается как совокупность свойств и характеристик продукции или услуг, которые позволяют им удовлетворить имеющиеся или предполагаемые запросы потребителей. Конкурентная способность любого товара или услуги определяется совокупностью свойств, представляющих интерес для покупателей, пользователей и обеспечивающих удовлетворение имеющихся потребностей.

Информационные факторы, определяющие конкурентоспособность товара и услуги в сфере качества:

1. степень новизны товара, услуги, характеризующаяся показателями технологии, функции потребления, группы потребителей. Критерием новизны является изменение как минимум, в одном из этих показателей. Новая функция потребления означает, что продукт находит применение в новых областях (например, телефонная сеть используется для передачи данных ЭВМ и телефаксных услуг). Продукт или услуга, поставляемые на новый рынок, также становится новым товаром. Если меняется технология, лежащая в основе создания продукта, то товар характеризуется как новый (например, переход на изготовление лыж из пластика);

2. физические, объективно данные качества – материал изготовления товара, технические характеристики, форма, цвет, вкус, запах, вес, прочность;

3. эстетические качества - художественная форма изделия;

4. символические факторы, рассматриваемые в связи с общественными нормами, определяющие определенный статус владельца;

5. дополнительные факторы, не относящиеся непосредственно к продукту (предложение услуг, гарантия, установка изделия, монтаж, запчасти, возможность ремонта, дополнительное оборудование и т.п.).

Сведения, с помощью которых описываются приоритеты качества товара, услуги предприятия, пути и способы их достижения в обязательном порядке включают в себя информацию, составляющую коммерческую тайну. Качество производственных процессов, товаров и услуг может обеспечить огромные конкурентные преимущества на рынке. Добросовестная конкуренция направлена на получение прибыли путем создания лучших товаров и оказания более качественных услуг. Поиск предприятием новых возможностей, ресурсов для развития предпринимательской деятельности в значительной степени зависит от реализации вышеназванных элементов конкуренции, каждый из которых можно описать соответствующей информацией, составляющие коммерческую тайну.

Для правильного определения содержания сведений, относимых к коммерческой тайне, целесообразно дифференцировать информацию, использование которой обеспечивает преимущество в конкурентной борьбе за счет повышения качества, снижения цен, предоставления льгот, рекламы, развития послепродажного обслуживания, создания новых товаров и услуг. Кроме этого, динамика изменения спроса и предложения предприятия обусловливает изменение формы и методов информационного обеспечения и сведений, составляющих коммерческую тайну. Так, определенные сведения переходят в разряд коммерческой тайны, а конкретные, охраняемые ранее данные рассекречиваются, изменяется ценность закрытых сведений.

С учетом этого, коммерческая тайна представляет непрерывно меняющийся во времени фактор, длительность существования которого зависит от конкретных условий соперничества. Временной диапазон защиты конкретных сведений довольно широк и может колебаться от нескольких минут до нескольких лет. Чем короче период между замыслом и конкретной вещью, тем больше шансов опередить конкурентов. Успех равнозначен степени опережения.

При определении ценности информации следует учитывать мнение экспертов об условиях успеха при продаже продукции. Рыночные факторы по своей значимости в четыре раза превышают научно-технические. Приведенные данные говорят об особой ценности сведений, содержащихся в маркетинговых исследованиях и необходимости их эффективной защиты. По данным американских экспертов: 32% коммерческих неудач предлагаемых новинок случаются из-за неверной оценки требований рынка; 13% за счет неправильной политики сбыта; 14% из-за слишком высокой цены; 10% из-за несвоевременного начала продажи; 8% из-за противодействий конкурентов; 23% по техническим причинам.

Организация защиты товаров, сведения о которых составляют коммерческую тайну, осуществляется на основе оценки перспективности имеющегося набора товаров. Для такой оценки используется известный метод матрицы Бостонской консультативной группы, позволяющий выделить четыре типа производимой продукции:

тип "звезд", обеспечивающий выигрыш, рос спроса высокими темпами и требующий защиты связанных с ними промышленных секретов;

тип "дойной коровы", являющийся основным источником прибыли предприятия, обеспечивает устойчивое положение на рынке товаров при неблагоприятных перспективах увеличения спроса. В силу этого, расходование средств на их дальнейшее развитие следует проводить в ограниченных количествах;

тип – "дикие кошки" ("младенцы"), характеризующийся ростом емкости рынка этих товаров, при незначительной доле его контроля со стороны производителя. Это требует дополнительных исследований, способных установить перспективы перехода этой группы в более высокую. От результатов этих исследований зависит и уровень обеспечения сохранности коммерческой тайны;

тип – "собаки на сене", представляющий неперспективные товары и характеризующийся незначительным ростом объема продаж, низкой долей фирмы на рынке. От производства этих товаров надо избавляться как можно скорее, чтобы избежать убытков в будущем.

9.3. Методологические аспекты определения объекта защиты коммерческой тайны

Важным методологическим аспектом определения содержания объекта коммерческой тайны является известный системно-деятельностный подход, предполагающий рассмотрение объекта коммерческой деятельности, организации в виде совокупности элементов (O_i), отношений между ними (R_j), законов композиции элементов (F_k), законов декомпозиции элементов (Fo) и отношений (F_r), целей и среды. В рамках этого подхода учитываются принципы полисистемности и полиструктурности объекта.

Полисистемность – принцип, в соответствии с которым рассматриваемая система является подсистемой, относящейся к системе более высокого уровня (дочернее предприятие) и разбивается на подсистемы и элементы. Элементы рассматриваемой системы рассматриваются как системы при изменении исследовательских целей разработчика.

Полиструктурность – принцип, в соответствии с которым допускается возможность описания одного и того же объекта (системы, коммерческой организации, продуктов, услуг) различными структурами, получаемыми комбинированием типов элементов и отношений между ними, а также изменением законов комбинации.

Тогда можно рассмотреть структуры, описывающие свой предмет, рассматриваемый в системе: подсистемы и деятельность органов управления, подсистемы материального снабжения, энергетического обеспечения и информационного обслуживания, подсистемы информационной безопасности и охраны коммерческой организации и другие.

Другие принципы рассмотрения содержания объекта:

1. учет нахождения рассматриваемого объекта в различных стадиях жизненного цикла: создания (исследования, проектирования, разработки), существования (введение в эксплуатацию, эксплуатация, использование, функционирование), гибели (снятие с производства, утилизация);

2. учет функционирования системы в условиях внешнего окружения, т.е. наличия внешней среды, внутренней среды, их организации и об отношении системы и внешней среды. Внешняя среда может быть агрессивной, партнерской, дружественной, декомпозированной по различным принципам (сырьевого, товарного рынков);

3. рассмотрение отношений, имеющих вещественный, энергетический и информационный характер. Эти отношения формируют вещественные, энергетические и информационные потоки, которые могут представлять возможные каналы утечки информации или каналы агрессивного, недоброжелательного проникновения в деятельность коммерческой организации с целью завладения, хищения, модификации, искажения, подмены, уничтожения и т.д. защищаемой коммерческой информации.

Рассмотрение содержания объекта с учетом разделения на среду и систему позволяет выделить потоки ценной информации во внешней и во внутренней средах системы, а также между системой и средой. Внешняя среда может быть декомпозирована, например, на сырьевую и рыночную среду.

Существенное значение в определении содержания организации защищаемого объекта коммерческой тайны представляет организация его с целью реализации какой-либо деятельности, которая предполагает наличие:

а) объекта и цели деятельности (сырья, вещества, материалов, информации, товаров и т.д.);

б) средства, метода и организованного процесса деятельности (производственной системы, реализующей процессы преобразования, транспортировки, построения, продажи, видоизменения и т.д. объекта деятельности);

в) системы, организующей процесс деятельности (субъекта деятельности, предпринимателя, объекта управления, владельца, собственника и т.д.);

г) результата деятельности и системы, на которую этот результат воздействует или которая этот результат использует (услуги, товары, вещества, материалы, системы, документы, информация и т.д.). Т.е. результатом деятельности является измененное состояние субъекта, реализующего деятельность. Здесь результат, субъект и система, потребляющая результат – представляют один объект - результатом.

С учетом рассмотренных положений исходная схема деятельности сводится к так называемой "тринарной цепочке" – "объект деятельности - деятельность - результат деятельности", где:

объект деятельности, деятельность и результат деятельности в рассматриваемой цепочке являются некоторыми лингвистическими переменными, принимающими определенные значения;

в качестве объекта деятельности могут выступать явления, системы, феномены искусственного или природного происхождения;

в качестве деятельности, могут рассматриваться ее виды (практическая, познавательная, отражательная, трудовая и другие);

в качестве результата могут выступать материальные (орудия труда, технические устройства, документы и т.д.) и идеальные (информация, знания, гипотезы, образы и т.д.) объекты.

Изменяя в рассматриваемой последовательности значения лингвистических переменных, можно получить так называемую деятельностную ситуацию. Тогда коммерческую деятельность, направленную на получение какого-либо результата можно рассматривать как одну из таких деятельностных ситуаций.

Объект деятельности (объекты) – средства и методы, вовлеченные в деятельность (системы, явления, процессы, вещество, энергия, информация).

Деятельность (процесс) – форма отношений, реализуемых средствами деятельности между объектом и субъектом деятельности, содержание которых составляет целесообразное изменение и преобразование объекта. В результате деятельности ее объекты могут за счет дополнительной информации, являющейся внутренним информационным ресурсом, выполняющей синергетические, системообразующие функции, приобретать новые качества. Новые качества объект деятельности приобретают и в случае объединения их в технологическом процессе с энергией, веществом и информацией на основе системообразующей информации, которая отличается от информации, выполняющей функции объекта деятельности.

Примером использования системообразующей информации может быть содержание статьи 7 закона "Об авторском праве и смежных правах" в части содержания понятий "производные произведения" и "составные произведения". Производные произведения (результаты творческого труда, деятельности автора произведения) - переводы, обработки, аннотации, рефераты, резюме, другие произведения науки, литературы и искусства, то есть произведения, построенные на материалах других произведения. Производные и составные произведения охраняются авторским правом независимо от того, являются ли объектом авторского права произведения, на которых они основаны или которые они включают. Производные произведения являются результатом применения системообразующей информации к информации, имеющейся в произведениях, на которых они основаны.

То же можно сказать и об объектах, являющихся результатом производственной деятельности. Информация о конструктивном объединении деталей в изделии является системообразующей для вещества. Присутствует она и в сигналах вещания систем связи и радиотехнических средств массовой информации. При этом следует заметить, что в конструктивных решениях материалов, в структуре вещества, она является неявной. В большинстве случаев коммерческой деятельности эта неявная форма и есть объект защиты информации. Задачей же средств массовой информации и систем открытой связи является обеспечение как можно большей определенности системообразующей информации.

Результат деятельности (продукт) – измененный или (и) преобразованный объект, зафиксированный в некоторой форме в некоторой системе. Результат может и должен пониматься и как прибыль, как результат деятельности по сбыту товара и услуг. Прибыль как результат – это измененная в процессе продажи стоимость. Наличие синергетической, системообразующей функции информации обеспечивает представление результата деятельности в роли ее формы, и защита этой формы представляет собой разновидность защиты информации. Так как, результат деятельности предназначен потребителю, информация, заложенная в нем, является всегда открытой и защищается в рамках так называемой открытой системой защиты информации. Реализация такой защиты осуществляется на основе патентного законодательства, авторского и смежного права. В ряде случаев используется и закрытая система защиты информации, обеспечивающей исключение несанкционированного доступа к ней. В системах связи к такой защите относится шифрование.

В свою очередь, объект и предмет защиты проявляются в сведениях (признаках) о них, а сама схема (модель), деятельности может выступать в качестве системообразующей схемы для классификации информации, подлежащей защите при реализации коммерческой деятельности. Объект, предмет деятельности и информация их отражающая определяют содержание механизмов защиты коммерческой тайны. Конкретные объект, предметы и информация определяют конкретность и эффективность этих механизмов, в том числе и правовых.

9.4.Организация защиты коммерческой тайны

Для существующих видов коммерческой деятельности можно выделить ряд направлений защиты информации, которые классифицируются по соответствующим типам и видам информации: 1) по собственнику коммерческой информации (межгосударственная, государственная, муниципальная, общественная, личная, индивидуальная, коллективная); 2) по типу защищенности информации (доступная и незащищенная законодательно, доступная и законодательно защищенная); 3) по видам охраняемых тайн (защита государственной тайны, защита межгосударственных секретов, защита коммерческой тайны); 4) по группам, используемых для защиты информации сил, средств и методов (правовая, организационная, инже­нерно-техническая, програмно-математическая, административная, социально-психологическая, финансовая защита информации); 5) по степени доступности защищаемой информации (доступная информация, недоступная информация); 6) по степени санкционированного доступа к информации (санкционированный и несанкционированный доступ).

К защищаемой относят: секретную информацию, содержащую сведения, составляющие государственную тайну; конфиденциальную информацию, содержащую сведения, составляющие коммерческую тайну, а также тайну личной (неслужебной) жизни и деятельности граждан. Защищаемой информацией являются сведения на использование и распространение которых, собственником введены ограничения на использование и распространение;

Для коммерческой деятельности, в котором информация зафиксирована либо в виде документа, либо в виде объемно-пространственного объекта, право собственности, определяемое правом авторства на интеллектуальную собственность, накладывает определенные ограничения на ее использование и распространение. Важным видом интеллектуальной собственности является промышленная собственность, к которой относятся такие сведения, как изобретения, промышленные образцы, полезные модели, товарные знаки, знаки обслуживания и наименования мест происхождения товара.

Авторство, право собственности и нормы использования рассмотренных первых трех групп сведений определяются патентным законодательством. Важной особенностью патентной охраны технических решений является защита экономических интересов собственников данного вида информации, что дает основание рассмотрения его как элемента правового регулирования процесса обеспечения информационной безопасности.

Патентным законодательством определено содержание понятия промышленной собственности как технических или художественно-конструкторских решений, обладающих новизной и промышленной применимостью. Последнее условие резко сужает круг объектов патентного права или охраноспособной информации до сведений, которые тем или иным спо­собом могут быть представлены материальной формой.

В настоящее время, не признаются изобретениями научные теории, методы организации и управления хо­зяйством, правила, методы выполнения умственных операций, алгоритмы и программы для вычислительных машин. Однако, возможность получения значительного экономического эффекта от указанных видов информационного ресурса очевидна. Такое положение требует наличия правового механизма охраны рассматриваемых сведений. Некоторые из них все же могут быть объектами авторского права, как произведения науки, по аналогии с произведениями литературы и искусства. В этом направлении делаются определенные шаги. Объектами авторского права признаны программы для ЭВМ и базы данных, а также топология интегральных микросхем. Другие сведения могут подпадать под действие авторского права, если они определенным способом могут быть отнесены к произведениям науки. Здесь существует актуальная задача использования норм охраны авторского права для регулирования отношений процесса охраны научно-технической информации.

Важным направлением обеспечения информационной безопасности является защита от несанкционированного доступа (НСД), обеспечиваемая комплексом мер, представляющих закрытую систему защиты информации. Система правового регулирования защиты коммерческой тайны от НСД является двухуровневой. Первый уровень - обеспечивают законодательные акты государства, регламентирующие деятельность предприятий в области защиты коммерческой тайны, определяющие объем их прав и обязанностей в области защиты их собственности в виде информации, объявленной предприятием коммерческой тайной. К этой группе относятся действующие законы. Второй уровень защиты обеспечивают нормативные правовые акты, регламентирующие организацию, порядок и правила защиты коммерческой тайны на предприятии. Этот уровень включает: 1) устав предприятия, определяющий цели его деятель­ности, права персонала, в том числе право иметь коммерческую тайну и осу­ществлять ее защиту; 2) коллективный договор, в котором определяются права и обя­занности сторон, в том числе и по защите конфи­денциальной информации, обеспечению необходимых условий и средств ее защиты; 3) правила внутреннего трудового распорядка, включающие нормы защиты интересов предприятия, его информации, в том числе ком­мерческой тайны; 4) инструкции, определяющие организацию, порядок и правила защиты коммерческой тайны на предприятии; 5) различные положения, регламентирующие права и деятельность различных подразделений предприятия, в том числе и службы безопасности (СБ) предприятия; 6) документы, типа перечня, реестра и т.п., определяющие категории сведений, относимых к конфиденциальной информации предприятия, сроки засек­речивания коммерческой информации и уровень ее защиты.

Организационная и правовая система защиты коммерческой тайны базируется на правовых нормах гражданского и административного законодательства. Право фирмы на получение, владение и распоряжение коммерческой информацией, а также на осуществление мер по обеспечению ее защиты устанавливается в уставе предприятия, который включает:

положения о праве предприятие на получение, владение и распоряжение конфиденциальной информацией и объектами интеллектуальной собственности;

перечень конфиденциальной информации и объектов интеллектуальной собственности организации, предприятия, подлежащих защите от недобросовестных конкурентов и устремлений злоумышленников, а также порядок организации указанной защиты устанавливаются руководителем организации, предприятия и объявляются соответствующими приказами;

нормы координации работ по обеспечению защиты конфиденциальной информации и объектов интеллектуальной собственности, которая осуществляется правлением организации (исполнительным органом), обязанности которого отражаются в коллективном договоре на календарный год.

На крупных предприятиях указанные положения устава являются основанием для учреждения руководителем самостоятельного или входящего в состав службы безопасности специализированного подразделения по защите коммерческой тайны. Основные функции подразделения:

выявление и оценка угроз, создаваемых внешними и внутренними источниками опасности;

выявление потенциальных каналов утраты (разглашения, утечки) конфиденциальных сведений и разработка мер по их блокированию;

определение условий экономической целесообразности защиты коммерческой тайны;

синтез, оптимизация и технико-экономическое обоснование системы защиты коммерческой тайны;

организационный и технический контроль состояния системы защиты коммерческой тайны.

Положения устава предприятия, относящиеся к обеспечению защиты коммерческой тайны, дают право на обращение в арбитражный суд с заявлением о возмещении убытков (реального ущерба или упущенной выгоды), причиненных фирме другими физическими и юридическими лицами.

Реализация целей и задач защиты коммерческой тайны осуществляется на основе разработки и введения в действие, в пределах компетенции предприятия организационно-методических документов:

инструкции, регламентирующей распределение обязанностей между должностными лицами фирмы в части обеспечения защиты коммерческой тайны;

инструкции, регламентирующей порядок обеспечения защиты коммерческой тайны в структурных подразделениях предприятия;

инструкции, регламентирующей порядок обеспечения защиты коммерческой тайны в процессе регулирования деловых отношений фирмы с российскими и иностранными партнерами.

Основным условием обеспечения сохранности коммерческой тайны является персональная ответственность должностных лиц предприятия, организации всех уровней и других ее работников, которым предоставлен доступ к коммерческой тайне, за соблюдение режима конфиденциальности, установленного организационно-методическими документами, которые доводятся до сведения указанных лиц под расписку. Должностные лица и сотрудники организации, в случае разглашения ими информации, составляющей предмет защиты конфиденциальных интересов, нарушения порядка обращения с материальными носителями конфиденциальной информации или средствами информатизации и связи, используемыми для обработки и передачи указанной информации, а также в случае несанкционированного ознакомления с объектами интеллектуальной собственности посторонних лиц, несут дисциплинарную и материальную ответственность.

Обязанность возмещения убытков от указанных неправомерных действий виновным лицом возникает в случае, если условия о соблюдении конфиденциальности включены в трудовой договор (контракт) с работником или гражданско-правовой договор с контрагентом (п. 2 ст.139 Гражданского кодекса). В случае деловых контактов фирмы с иностранными партнерами взаимные обязательства сторон о неразглашении конфиденциальной информации, срок действия этих обязательств, санкции за их невыполнение и другие аспекты отражаются в рамках документа о намерениях сторон. Передача конфиденциальной информации и объектов интеллектуальной собственности другим физическим и юридическим лицам производится на основе лицензионного договора.

С учетом рассмотренных положений можно сделать ряд выводов.

1. До середины 90-х годов в России, государство практически монопольно выступало субъектом правоотношений в сфере владения, пользования и распоряжения информационным ресурсом в экономической, политической, военное и других сферах деятельности. Обеспечение информационной безопасности успешно осуществлялось хорошо организованной системой защиты государственных секретов и служебных сведений. Правовое регулирование процесса защиты в этой системе осуществлялось нормами уголовного законодательства, а также правительственными и ведомственными нормативными актами.

2. Снижение степени государственного монополизма на защиту коммерческой тайны и конкуренция, обусловили потребность предприятий с любой формой собственности в защите сведений, не подпадающих под категорию государственной тайны, но имеющих конфиденциальный характер. Возникает общественная потребность в создании института коммерческой тайны.

3. Строгая монополия государства и организация централизованной системы защиты коммерческой тайны затруднена, трудно применима в силу наличия различных форм собственности, для которых присущи индивидуальные правоотношения субъектов в области защиты своих коммерческих интересов, и с другой, сложности централизованного учета всего многообразия защищаемых сведений. Определяющим фактором здесь является риск собственника информации, связанный с экономическим ущербом или недополучением прибыли. Для частных форм собственности механизм и технология защиты информации требуют незначительных затрат ресурса, что и отличает такую систему защиты от системы защиты государственных секретов. Выбор видов и форм услуг по защите и степени защищенности является компетенцией самого собственника. В то же время законодательство должно гарантировать защиту его прав в случае возникновения конфликтных ситуаций.

4.Технология защиты коммерческой тайны аналогична технологии защиты государственных секретов и представляет защиту от утечки информации. Здесь полностью применимы все организационно-распорядительные документы и методы, связанные с обеспечением государственной тайны. Отличием является их не строго нормативный, а рекомендательный характер. Учитывая, что коммерческая тайна является объектом экономических интересов, то предусматриваются соответствующие санкции при ее разглашении в особых условиях хозяйственных и трудовых договоров (контрактов).

5. Содержание организации системы зашиты коммерческой тайны предприятия определяется администрацией, которая вправе включить соответствующие условия в уставы, коллективные трудовые договора и правила внутреннего распорядка. В рамках этих документов определяется и соответствующая ответственность, которая наступает по фактам несоблюдения договорных обязательств и невыполнения условий внутренних нормативных документов. Соответствующие санкции определены и могут быть применены по нормам гражданского, административного, трудового права, которые предусматривают имущественную, административную и дисциплинарную меру ответственности. Если по факту разглашения коммерческой тайны будет доказан факт изъятия из фондов материальных и финансовых ценностей, то могут быть применены и нормы уголовного законодательства.

6. Известны и другие важные факторы, обусловившие, появление института коммерческой тайны:

недостатки законодательства об авторском праве на интеллектуаль­ную собственность;

отсутствие методик количественного измерения интел­лектуального продукта;

недобросовестная конкуренция, порождаемая недостатками природы человека (честолюбивые устремления, низкий интеллект, воровство и др.);

несовершенство механизма патентозащиты (вещного права на объект), трудности доказательства нарушений патентного права и определения причиненного ущерба;

несовершенство механизма охраны (защиты) авторского права (непризнание объектом защиты идеи, теории, принципа, метода, процесса, открытия, факта, концепции, и других продуктов интеллектуального труда ученого, специалиста, лежащих в основе создаваемых технологий и продуктов их реализации. Также не защищается недокументированная информация.

7. Основным вопросом проблемы защиты информации в процессе реализации коммерческой деятельности можно считать вопрос определения содержания сведений, составляющих коммерческую тайну и создания правового механизма защиты прав собственника информации с учетом классов информации и видов коммерческой деятельности.

Глава 10. ГОСУДАРСТВЕННАЯ СИСТЕМА ЛИЦЕНЗИРОВАНИЯ И СЕРТИФИКАЦИИ В ОБЛАСТИ ИНФОРМАЦИОННОЙ БЕЗОПАСНОСТИ

Вопросы:

1.Система лицензирования в области защиты конфиденциальной информации

2. Система сертификации средств защиты информации

3. Особенности сертификации средств защиты информации по требованиям безопасности

4. Аккредитация испытательных лабораторий и органов сертификации средств защиты информации

5. Аттестация объектов информатизации по требованиям безопасности информации

10.1. Система лицензирования в области защиты конфиденциальной информации

1. Основные положения по организации структура системы

государственного лицензирования

Основное назначение системы лицензирования - создание условий, при которых право заниматься работами по защищаемой информации для стороннего заказчика, представлено только организациям, имеющим на этот вид деятельности соответствующее разрешение (лицензию).

Лицензия (от лат. licentia – свобода, право):

• разрешение, выдаваемое специально уполномоченным органом государственного управления или местного самоуправления разрешение, на осуществление в течение установленного в нем срока видов деятельности, которые в соответствии с действующим законодательством подлежат лицензированию;

• разрешение на использование изобретения или иного технического достижения, предоставляемое на основании лицензионного договора либо судебного или административного решения компетентного государственного органа;

• официальный документ, который разрешает осуществление на определенных условиях конкретного вида деятельности в течение установленного срока и действителен на всей территории Российской Федерации, а также в учреждениях Российской Федерации, находящихся за границей.

Существуют различные виды лицензий: обычная, беспатентная, простая, исключительная, полная.

Обычно лицензия выдается на изобретение, по которому подана заявка на патент или получен этот документ.

Беспатентные лицензии выдаются на технические достижения, в том числе секреты производства (ноу–хау), которые по законам данной страны не могут охраняться патентом, либо на изобретения, на которые по каким–либо причинам заявка на получение охранного документа не подана.

Простая лицензия – лицензиар (владелец патента) предоставляет лицензиату право использовать изобретение в установленных договором пределах, но сохраняет за собой право применять его на той же территории, а также предоставлять лицензию на таких же условиях неограниченному кругу лиц (лицензиат не имеет права выдавать сублицензии).

Исключительная лицензия – лицензиар представляет исключительное право на использование изобретения в установленных договором пределах, владелец патента отказывается от самостоятельного ее применения на этой территории и представлении лицензии другим лицам.

Полная лицензия предоставляет право использовать все основанные на патенте права в течение срока его действия.

Содержание лицензии включает следующие реквизиты: 1) наименование органа, ее выдавшего; 2) данные юридического лица (наименование и юридический адрес предприятия, организации, учреждения); 3) данные физического лица (фамилия, имя, отчество, паспортные денные (серия, номер, кем и когда выдан, место жительства)); 4) вид деятельности, на осуществление которой выдается лицензия; 5) срок действия лицензии; 6) условия осуществления данного вида деятельности; 7) регистрационный номер лицензии и дата ее выдачи.

Система государственного лицензирования деятельности в области ЗИ является составной частью государственной системы защиты информации. Деятельность системы лицензирования организуют государственные органы, которые в пределах своей компетенции осуществляют лицензирование следующих видов деятельности:

• работ, связанных с использованием сведений, составляющих государственную тайну;

• работ, связанных с созданием средств защиты информации;

• мероприятий и (или) оказания услуг в области защиты государственной тайны.

В рамках государственной системы лицензирования определены полномочия соответствующих государственных органов по рассмотренным видам работ, таблица 10.1.

Лицензирование деятельности предприятий ФСБ, МО, ФАПСИ, Федеральной пограничной службы Российской Федерации (ФПС), ФСВР, ГТК по допуску к проведению работ, связанных с использованием сведений, составляющих государственную тайну, осуществляется руководителями министерств и ведомств Российской Федерации, которым подчинены указанные предприятия.

Координирующим органов системы государственного лицензирования является Межведомственная комиссия по защите государственной тайны (Межведомственная комиссия).

Основные функции органов уполномоченных на ведение лицензионной деятельности: организация лицензирования деятельности предприятий; организация и проведение специальных экспертиз предприятий; рассмотрение заявлений предприятий о выдаче лицензий; принятие решений о выдаче или об отказе в выдаче лицензий; выдача лицензий; принятие решений о приостановлении действия лицензии или о ее аннулировании; разработка нормативно-методических документов по вопросам лицензирования; привлечение в случае необходимости представителей министерств и ведомств Российской Федерации для проведения специальных экспертиз; ведение реестра выданных, приостановленных и аннулированных лицензий; разработка, и обеспечение комплекса мер организационного, материально–технического и иного характера, необходимых для осуществления лицензирования деятельности предприятий, организаций и учреждений по проведению работ, связанных с использованием сведений, составляющих государственную тайну.

Таблица 10.1.

Полномочия органов государственного лицензирования

Виды лицензируемых мероприятий и работ	Государственные органы, осуществляющие допуск
Использование сведений, составляющих государственную тайну	ФСБ, ее территориальные органы на территории Российской Федерации; ФСВР - за рубежом
Создание средств защиты информации	Гостехкомиссия России, ФАПСИ -в пределах их компетенции
Осуществление мероприятий и (или) оказание услуг в области защиты государственной тайны	ФСБ и ее территориальные органы, ФАПСИ, Гостехкомиссия, ФСВР, Министерство обороны -в пределах их компетенции.

Регулирование деятельности, а также рассмотренные функции органов системы государственного лицензирования в области информационной безопасности осуществляется в рамках действующего законодательства, определяющего в целом и деятельность рассмотренных выше органов (ФСБ, СВР, Гостехкомиссии, ФАПСИ, МО и др.)

Одним из первых нормативных актов в этой области является Положением о государственном лицензировании деятельности предприятий в области ЗИ (утверждено решением Гостехкомиссии и ФАПСИ от 27 апреля 1994 года). В нем установлены основные принципы, организационная структура системы государственного лицензирования деятельности юридических лиц, независимо от их организационно–правовой формы собственности по защите информации, обрабатываемой в технических средствах и помещениях, порядок лицензирования и контроля деятельности предприятий, получивших лицензию, определено содержание понятия лицензирования.

Лицензирование - деятельность по передаче или получению прав на проведение работ в области защиты информации.

В соответствии с приведенным содержанием ЗИ в Положении определены виды деятельности предприятий в области защиты информации. Лицензирование деятельности этих предприятий осуществляется в рамках организационной структуры системы лицензирования, которая включает: государственные органы по лицензированию (Гостехкомиссия России, ФАПСИ), лицензионные центры (региональные, отраслевые) и экспертные комиссии при них, предприятия, претендующие на получение лицензий в выбранном виде деятельности (предприятия–заявители).

2. Порядок лицензирования деятельности предприятий, учреждений и организаций независимо от их организационно–правовых форм (предприятия) по проведению работ, связанных с использованием сведений, составляющих государственную тайну, созданием средств защиты информации, а также с осуществлением мероприятий и (или) оказанием услуг по защите государственной тайны определен соответствующими нормативными правовыми актами. Основными документами, представляемыми для получения лицензии в уполномоченный на ведение лицензионной деятельности орган, являются:

1. заявление о выдаче лицензии с указанием:

- наименования и организационно–правовой формы, юридического адреса предприятия, номера его расчетного счета в банке;

- вида деятельности, на осуществление которого должна быть выдана лицензия;

- срока действия лицензии.

2. копии учредительных документов (с предъявлением оригиналов, в случае если копии не заверены нотариусом);

3. копию свидетельства о государственной регистрации предприятия;

4. копии документов, подтверждающих право собственности, право полного хозяйственного ведения и (или) договора аренды на имущество, необходимое для ведения заявленного вида деятельности.

5. справка о постановке на учет в налоговом органе;

6. документ, подтверждающий оплату рассмотрения заявления.

Ответственность за достоверность сведений представляемых документов несет заявитель.

Регистрация представленных документов осуществляется уполномоченным органом, принимающим решение о выдаче или об отказе в выдаче лицензии в следующие сроки:

- в течение 30 дней со дня получения всех необходимых документов;

- в случае необходимости проведения дополнительной экспертизы предприятия в 15-дневный срок после получения заключения экспертизы, но не позднее чем через 60 дней со дня подачи заявления и необходимых документов;

- в зависимости от сложности и объема, подлежащих специальной экспертизе материалов, руководитель уполномоченного органа может продлить срок принятия решения о выдаче или об отказе в выдаче лицензии до 30 дней.

Выдача лицензий осуществляется:

- основании результатов специальных экспертиз предприятий и государственной аттестации их руководителей, ответственных за защиту сведений, составляющих государственную тайну (руководители предприятий);

- при выполнении следующих определенных условий.

Условия выдачи лицензии:

1) соблюдение требований нормативных правовых актов Российской Федерации по обеспечению защиты сведений, составляющих государственную тайну в процессе выполнения работ, связанных с использованием указанных сведений;

2) наличие в структуре предприятия подразделения по защите государственной тайны и необходимого числа, подготовленных специалистов для работы по защите информации, уровень квалификации которых достаточен для обеспечения защиты государственной тайны;

3) наличие на предприятии средств защиты информации, имеющих сертификат, удостоверяющий их соответствие требованиям по защите сведений соответствующей степени секретности.

Срок действия и продления лицензии устанавливается:

в зависимости от специфики вида деятельности, но менее 3-х и не более 5-и лет;

по просьбе заявителя лицензии – менее 3-х лет;

продление срока действия лицензии производится в порядке, установленном для ее получения.

Предприятие может иметь лицензии на несколько видов деятельности, по каждому из которых выдается отдельная лицензия. При осуществлении лицензируемого вида деятельности на нескольких территориально обособленных объектах, лицензиату одновременно с лицензией выдаются заверенные копии с указанием местоположения каждого объекта. Копии лицензий регистрируются уполномоченным органом.

Требования к оформлению бланков лицензии, их приобретению, учету, хранению:

1) наличие степени защиты, соответствующей степени защиты ценной бумаги на предъявителя;

2) являются документами строгой отчетности, имеющими учетную серию и номер;

3) приобретение, учет и хранение бланков лицензий возлагается на органы, уполномоченные на ведение лицензионной деятельности;

4) лицензия подписывается руководителем (заместителем руководителя) уполномоченного органа и заверяется печатью этого органа;

5) копия лицензии хранится в органе, уполномоченном на ведение лицензионной деятельности.

Выдача лицензии осуществляется после представления заявителем документа, подтверждающего ее оплату, равную стоимости бланка лицензии. Размер платы за рассмотрение заявлений о выдаче лицензий на проведение работ, связанных с использованием сведений, составляющих государственную тайну, созданием средств защиты информации, а также с осуществлением мероприятий и (или) оказанием услуг по защите государственной тайны, устанавливается действующим законодательством.

Передача лицензии другому юридическому лицу - запрещена.

При реорганизации предприятия, получившего лицензию, изменения его местонахождения или наименования, утраты им лицензии оно обязано в 15–дневной срок подать заявление о переоформлении лицензии в порядке, установленном для ее получения. До переоформления лицензии лицензиат осуществляет деятельность на основании ранее выданной лицензии или временного разрешения, выдаваемого уполномоченным органом, в случае утраты лицензии.

Отказ в выдаче лицензии осуществляется в 3-дневный срок после принятия соответствующего решения. При этом письменное уведомление об отказе в выдаче лицензии с указанием причин отказа направляется заявителю.

Основания для отказа в выдаче лицензии:

1) наличие в документах, представленных заявителем, недостоверной или искаженной информации;

2) отрицательное заключение экспертизы, установившей несоответствие необходимым для осуществления заявленного вида деятельности условиям выдачи лицензии;

3) отрицательное заключение по результатам государственной аттестации руководителя предприятия.

3. Проведение специальной экспертизы предприятия проводится путем проверки выполнения требований нормативно-методических документов: 1) по режиму секретности; 2) противодействию иностранным техническим разведкам; 3) защите информации от утечки по техническим каналам; 4) соблюдению других условий, необходимых для получения лицензии.

Ответственность за организацию и проведение специальных экспертиз предприятий, возлагается на государственные органы: ФСБ, ФАПСИ, Гостехкомиссия России, ФСВР, МО и другие министерства и ведомства, руководители которых наделены полномочиями по отнесению к государственной тайне сведений в отношении подведомственных им предприятий. Порядок организации и проведения специальных экспертиз определяются инструкциями, разрабатываемыми государственными органами и согласовываемыми с Межведомственной комиссией. Проведение экспертиз осуществляется на основе договора между предприятием и органом лицензирования. Расходы по проведению экспертиз относятся на счет предприятия. Проведение специальных экспертиз осуществляется аттестационными центрами, имеющими соответствующие лицензии. Специальные экспертизы этих центров проводят ФСБ, ФАПСИ, Гостехкомиссия России, ФСВР, МО и их органы на местах (в пределах их компетенции).

4. Проведение государственной аттестации руководителей предприятий организуется: органами, уполномоченными на ведение лицензионной деятельности; министерствами и ведомствами Российской Федерации, руководители которых наделены полномочиями по отнесению к государственной тайне сведений в отношении подведомственных им предприятий.

Методические рекомендации по организации и проведению государственной аттестации разрабатываются Межведомственной комиссией. Финансирование государственной аттестации относятся на счет предприятий. Руководители предприятий, имеющие свидетельство об окончании учебных заведений, уполномоченных осуществлять подготовку специалистов по вопросам защиты информации, составляющей государственную тайну, от государственной аттестации освобождаются. Перечень указанных учебных заведений утверждается Межведомственной комиссией по представлению органов, уполномоченных на ведение лицензионной деятельности.

5. Порядок приостановления или аннулирования действия лицензии осуществляют уполномоченные органы в случаях:

• предоставления лицензиатом соответствующего заявления;

• обнаружения недостоверных данных в документах, представленных для получения лицензии;

• нарушения лицензиатом условий действия лицензии;

• невыполнения лицензиатом предписаний или распоряжений государственных органов или приостановления этими государственными органами деятельности предприятия в соответствии с законодательством Российской Федерации;

• ликвидации предприятия.

Этапы приостановления, возобновления и аннулирования лицензии:

1) принятие решения о приостановлении, возобновлении и аннулировании лицензии органом, выдавшим лицензию;

2) уведомление в письменной форме лицензиата и органов Государственной налоговой службы Российской Федерации в 3-дневный срок со дня принятия решения о приостановлении действия лицензии или ее аннулировании;

3) приостановление действия лицензии со дня получения лицензиатом указанного уведомления;

4) возврат лицензии, в 10-дневный срок после уведомления владельца лицензии о ее аннулировании, в орган, ее выдавший;

5) возобновление действия лицензии при изменении обстоятельств, повлекших приостановление действия;

6) лицензия считается возобновленной после принятия уполномоченным органом соответствующего решения, о котором не позднее чем в 3-дневный срок с момента принятия он оповещает лицензиата и органы Государственной налоговой службы Российской Федерации.

7) ежеквартальное представление уполномоченными органами в Межведомственную комиссию сведения о выданных и аннулированных лицензиях.

Контроль за соблюдением лицензионных условий лицензиатами, по рассмотренным видам работ и услуг осуществляют уполномоченные органы, а их руководители и должностные лица несут ответственность за нарушение или ненадлежащее исполнение требований нормативных правовых актов в этой сфере. Решения и действия органов, уполномоченных на ведение лицензионной деятельности, могут быть обжалованы в установленном порядке.

10.2. Система сертификации средств защиты информации

1. Основные понятия сертификации в области ЗИ

и информационной безопасности

Сертификат (франц. certificat, от ср.–лат. certifico – удостоверяю):

- письменное свидетельство, документ, удостоверяющий определенный факт;

- документ, выдаваемый компетентными органами и удостоверяющий качество товара.

Существуют и другие, конкретизирующие виды сертификатов: заемное финансовое обязательство государственных органов; страховой сертификат; сертификат акций; сертификат эмиссионной ценной бумаги; сертификат происхождения товара; сертификат соответствия; сертификат специалиста и др.

В области информационной безопасности и ЗИ представляет интерес содержание понятий сертификата происхождения товара, сертификата соответствия, сертификата специалиста.

Сертификат происхождения товара (англ. confirmation of origin goods) – документ, предъявляемый таможенным органам, как при вывозе, так и при ввозе товара на таможенную территорию страны, если это предусмотрено законодательством в области государственной безопасности и других жизненно важных интересов страны, т.е. и ее информационной безопасности.

Сертификат соответствия – документ, выдаваемый установленным законом порядком уполномоченным органом Государственного стандарта России, который подтверждает безопасность товаров определенной номенклатуры, работы, услуги (security of goods, work, servis).

Сертификат специалиста вводится для системы здравоохранения и в настоящее время в области информационной безопасности отсутствует. На практике его содержание определяется содержанием требований к подготовке соответствующих специалистов в области ЗИ и их аттестации.

Сертификат специалиста в области информационной безопасности – документ, выдаваемый компетентными органами на основании послевузовского профессионального образования, или дополнительного образования (повышения квалификации, специализация), или проверочного испытания, проводимого комиссиями профессиональных ассоциаций, а также компетентных органов государственной службы по теории и практике избранной специальности, вопросам законодательства в области информационной безопасности.

В силу широкого понимания и прямой зависимости от решения вопросов правового обеспечения информационной безопасности, содержание рассмотренных понятий определяет и соответствующее содержание сертификации средств защиты и услуг по обеспечению информационной безопасности.

2. Система сертификации средств ЗИ и обеспечения

информационной безопасности

Особенностью рассматриваемой системы является, то, что она, с одной стороны, представляет часть государственной системы защиты информации, и с другой – составную часть государственной системы сертификации продукции, функционирующей под управлением органов стандартизации в соответствии с Законами Российской Федерации "О государственной тайне" и "О сертификации продукции и услуг".

Сертификацией продукции по требованиям ЗИ и ИБ - комплекс организационно–технических мероприятий, в результате которых посредством специального документа–сертификата и знака соответствия с определенной степенью достоверности подтверждается, что продукция соответствует требованиям:

1) государственных стандартов или иных нормативных правовых актов, утвержденных Правительством Российской Федерации – для продукции, используемой при обработке информации, содержащей сведения, составляющие государственную тайну;

2) требованиям государственных или отраслевых стандартов, иных нормативных актов Правительством РФ или ФАПСИ – для продукции, используемой при обработке конфиденциальной информации, не содержащей сведений, составляющих государственную тайну.

Подлежат обязательной сертификации средства ЗИ: технические, криптографические, программные и другие, предназначенные для защиты сведений, составляющих государственную тайну; средства, в которых реализованы перечисленные выше средства; средства контроля эффективности ЗИ.

Система сертификации средств ЗИ - совокупность участников сертификации, осуществляющих ее по установленным правилам.

Эта система включает: федеральный орган по сертификации; центральный орган системы сертификации (создаваемый при необходимости) – орган, возглавляющий систему сертификации однородной продукции; органы по сертификации средств ЗИ – органы, проводящие сертификацию определенной продукции; испытательные лаборатории – лаборатории, проводящие сертификационные испытания (отдельные виды этих испытаний) определенной продукции; изготовители – продавцы, исполнители продукции.

Структуру государственной системы сертификации средств ЗИ составляют ведомственные подсистемы сертификации, представляющие федеральные органы по сертификации в составе Гостехкомиссии России, ФАПСИ, ФСБ, МО и координационный орган - Межведомственная комиссия по защите государственной тайны. Федеральные органы по сертификации уполномочены проводить работы по сертификации средств ЗИ в пределах своей компетенции, определяемой действующим законодательством Российской Федерации. Координация работы этих органов осуществляется Межведомственной комиссией. Правовой базой практической деятельности государственной системы сертификации являются государственные стандарты, нормативные правовые акты, в том числе утвержденные Президентом, Правительством Российской Федерации, федеральными органами по сертификации в пределах их компетенции. К таким основополагающим документам относятся соответствующие положения о системе сертификации средств защиты, перечни средств защиты информации, подлежащих сертификации и требования, которым эти средства должны удовлетворять, разработанные соответствующим федеральным органом и согласованные с Межведомственной комиссией.

Учитывая, что в основе практического нормативного акта, регулирующего деятельность органов по сертификации является стандарт, необходимо более детально рассмотреть его содержание.

Стандарт (от англ. standard – норма, образец, мерило):

1) образец, эталон, модель, принимаемые за исходные для сопоставления с ними других подобных объектов;

2) нормативно-технический документ, устанавливающий комплекс норм, правил, требований к объекту стандартизации и утвержденный компетентным государственным органом.

Стандартизация (англ. standardization) – установление в государственном масштабе, а также в рамках международных организаций единых норм и требований, предъявляемых к сырью, полуфабрикатам, материалам, производственным процессам, товарам, услугам и т.д.

Объекты стандартизации - материальные предметы и объекты организационно–методического и общетехнического типа, в том числе продукция, услуги, типовые технологические процессы, методы и средства обеспечения единства и точности измерений, научная организация труда и рабочих мест, организация управления, научно–технические термины, типовые формы документов и др. объекты многократного применения.

Виды нормативно-технических документов (стандарты), определяющих требования к объектам стандартизации: государственные стандарты России (ГОСТ); отраслевые (ОСТ), республиканские (РСТ), технические условия (ТУ).

Центральные органы системы сертификации, органы по сертификации средств ЗИ и испытательные лаборатории проходят аккредитацию на право проведения работ по сертификации в ходе которой федеральные органы по сертификации определяют возможности выполнения этими органами и лабораториями работ по сертификации средств ЗИ и оформляют официальное разрешение на право проведения указанных работ. Аккредитация проводится только при наличии лицензии на соответствующие виды деятельности.

Независимо от ведомственной принадлежности и специфики конкретного Федерального органа по сертификации, все они имеют определенные, типовые функции, в том числе:

1. создание системы сертификации;

2. осуществление выбора способа, подтверждающего соответствие средств ЗИ требованиям нормативных документов;

3. установление правил аккредитации центральных органов систем сертификации, органов по сертификации средств ЗИ и испытательных лабораторий;

4. определение центральных органов для каждой системы сертификации;

5. выдача сертификатов и лицензий на применение знака соответствия;

6. ведение государственного реестра участников сертификации и сертифицированных средств защиты информации;

7. осуществление государственного контроля и надзора за соблюдением участниками сертификации правил сертификации и за сертифицированными средствами защиты информации, а также установление порядка инспекционного контроля;

8. рассмотрение апелляции по вопросам сертификации;

9. представление на государственную регистрацию в Комитет Российской Федерации по стандартизации, метрологии и сертификации системы сертификации и знака соответствия;

10. установление порядка признания зарубежных сертификатов;

11. приостановление или отмена действия выданных сертификатов.

Основные функции центрального органа системы сертификации: организация работы по формированию системы сертификации и руководство ею; координация деятельности органов по сертификации средств ЗИ и испытательных лабораторий, входящих в систему сертификации; ведение учета входящих в систему сертификации органов по сертификации средств ЗИ и испытательных лабораторий, выданных и аннулированных сертификатов и лицензий на применение знака соответствия; обеспечение участников сертификации информацией о деятельности системы сертификации.

При отсутствии в системе сертификации центрального органа его функции выполняются одним из федеральных органом по сертификации средств защиты информации, функциями которого являются: сертификация средств ЗИ; выдача сертификатов и лицензий на применение знака соответствия с представлением копий в федеральные органы по сертификации и ведут их учет; приостановление либо отмена действия выданных ими сертификатов и лицензий на применение знака соответствия; принятие решения о проведении повторной сертификации при изменениях в технологии изготовления и конструкции (составе) сертифицированных средств ЗИ; формирование фонда нормативных документов, необходимых для сертификации; представление изготовителям по их требованию необходимой информации в пределах своей компетенции.

К рассмотренным функциям федеральных и других органов по сертификации средств ЗИ можно выделить функцию приостановления или аннулироваония действия сертификата в случаях:

• изменения нормативных и методических документов по ЗИ в части требований к средствам ЗИ, методам испытаний и контроля;

• изменения технологии изготовления, конструкции (состава), комплектности средств ЗИ и системы контроля их качества;

• отказа изготовителя обеспечить беспрепятственное выполнение своих полномочий лицами системы государственного контроля и надзора, инспекционного контроля за сертификацией и сертифицированными средствами ЗИ.

Основными функциями испытательных лабораторий являются проведение сертификационных испытаний средств ЗИ и по их результатам оформление заключений и протоколов, которые направляют в соответствующий орган по сертификации средств ЗИ изготовителям. Испытательные лаборатории несут ответственность за полноту испытаний средств ЗИ и достоверность их результатов.

Органы, осуществляющие сертификацию средств ЗИ, в соответствии с законодательством России несут ответственность: за выполнение возложенных на них обязанностей; обеспечение защиты государственной тайны, других конфиденциальных сведений; сохранность материальных ценностей, предоставленных изготовителем; соблюдением авторских прав изготовителя при сертификационных испытаниях средств ЗИ.

К функциям изготовителей относятся: производство (реализация) средств ЗИ только при наличии сертификата; извещение органа по сертификации об изменениях в технологии изготовления и конструкции (составе) сертифицированных средств ЗИ; маркировка сертифицированных средств ЗИ знаком соответствия в порядке, установленном для данной системы сертификации; указание в сопроводительной технической документации сведения о сертификации и нормативных документах, которым средства ЗИ должны соответствовать, а также обеспечение доведения этой информации до потребителя; применение сертификата и знака соответствия, установленных нормативными правовыми актами Российской Федерации для системы сертификации; обеспечение соответствия средств ЗИ требованиям нормативных документов по ЗИ; обеспечение беспрепятственного выполнения своих полномочий должностными лицами органов сертификации и контроля за сертифицированными средствами ЗИ; прекращение реализации средств ЗИ при несоответствии их требованиям нормативных документов или по истечении срока действия сертификата, а также в случае приостановки действия сертификата или его отмены.

Изготовители средств ЗИ должны иметь лицензию на соответствующий вид деятельности. Порядок получения сертификата:

1. изготовитель направляет в орган по сертификации заявку на проведение сертификации. К заявке прилагаются: схема проведения сертификации; государственные стандарты; другие, нормативные и методические документы;

2. орган по сертификации в месячный срок после получения заявки направляет изготовителю решение о проведении сертификации с указанием схемы ее проведения, испытательной лаборатории средств ЗИ, нормативных документов по требованиям к сертифицируемым средствам ЗИ. При необходимости решается вопрос о проведении и сроках предварительной проверки производства средств ЗИ;

3. для признания зарубежного сертификата изготовитель направляет его копию и заявку на признание в федеральный орган по сертификации, который извещает изготовителя о признании сертификата или необходимости проведения сертификационных испытаний в срок не позднее одного месяца после получения указанных документов;

4. при признании зарубежного сертификата федеральный орган по сертификации оформляет и выдает изготовителю сертификат соответствия установленного образца.

Правила сертификации импортируемых средств ЗИ аналогичны правилам сертификации отечественных.

3. Основные схемы проведения сертификационных испытаний

Основными схемами проведения сертификации средств ЗИ являются:

для единичных образцов средств ЗИ – проведение испытаний на соответствие требованиям по ЗИ;

для серийного производства средств ЗИ – проведение типовых испытаний образцов на соответствие требованиям по ЗИ и последующий инспекционный контроль за стабильностью характеристик сертифицированных средств ЗИ, определяющих выполнение этих требований. Кроме того, допускается предварительная проверка производства по специально разработанной программе.

Срок действия сертификата не может превышать пяти лет.

Испытания сертифицируемых средств ЗИ проводятся на образцах, технология изготовления и конструкция (состав) которых должны соответствовать образцам, поставляемым потребителю (заказчику). В отдельных случаях по согласованию с органом по сертификации допускается проведение испытаний на испытательной базе изготовителя по условиям, определяемым органом по сертификации и обеспечивающим объективность результатов испытаний.

При отсутствии к началу проведения сертификации аккредитованных испытательных лабораторий, орган по сертификации определяет возможность, место и условия проведения испытаний, обеспечивающих объективность их результатов. Сроки проведения испытаний устанавливаются договором между изготовителем и испытательной лабораторией. Изготовителю предоставляется возможность ознакомления с условиями испытаний и хранения образцов средств ЗИ в испытательной лаборатории.

Основанием для принятия решения об отказа в выдаче сертификата является несоответствие результатов испытаний требованиям нормативных и методических документов по ЗИ орган по сертификации. Изготовителю представляется мотивированное заключение от отказе. В случае несогласия с отказом, изготовитель имеет право обратиться в центральный, федеральный орган по сертификации или в Межведомственную комиссию для дополнительного рассмотрения полученных при испытаниях результатов.

Порядок оплаты работ по обязательной сертификации средств ЗИ определяется федеральным органом по сертификации по согласованию с Министерством финансов Российской Федерации и осуществляется на основании договоров между участниками сертификации.

Инспекционный контроль за сертифицированными средствами ЗИ осуществляют органы, проводившие сертификацию этих средств ЗИ. По спорным вопросам в деятельности участников сертификации заинтересованная сторона может подать апелляцию соответствующие органы системы сертификации средств зашиты информации или в Межведомственную комиссию. Эти органы в месячный срок рассматривают апелляцию с привлечением заинтересованных сторон и извещают подателя апелляции о принятом решении.

10.3.Особенности сертификации средств защиты информации по требованиям безопасности

1. Правовая база и основные понятия сертификации

Нормативные правовые акты регулирующие деятельность по сертификации средств ЗИ по требованиям безопасности информации включают:

- Положение о сертификации средств ЗИ по требованиям безопасности информации (Приказ Председателя Гостехкомиссии России от 27 октября 1995 г. № 199;

- Закон Российской Федерации "О сертификации продукции и услуг";

- Закон Российской Федерации "О государственной тайне";

- Постановлением Правительства Российской Федерации от 26 июня 1995 г. № 608 "О сертификации средств защиты информации";

- Положение о государственной системе ЗИ в Российской Федерации от иностранных технических разведок и от ее утечки – по техническим каналам;

- Положение "О системе сертификации ГОСТ Р";

- Правила по проведению сертификации в Российской Федерации" и др.

Содержание вопроса по сертификации средств защиты по требованиям безопасности включает: основные принципы сертификации средств защиты информации; организационную структуру системы обязательной сертификации средств ЗИ; порядок проведения сертификации средств защиты по требованиям безопасности информации; порядок проведения государственного контроля и надзора за сертификацией и сертифицированными средствами ЗИ.

Основные понятия, используемые при сертификации средств защиты информации по требованиям безопасности.

Средства ЗИ – технические, криптографические, программные и другие средства, предназначенные для защиты сведений, составляющих государственную тайну, средства, в которых они реализованы, а также средства контроля эффективности защиты информации.

Сертификация средств ЗИ по требованиям безопасности информации - деятельность по подтверждению их соответствия требованиям государственных стандартов или иных нормативных документов по ЗИ, Гостехкомиссией России.

Структура системы сертификации средств ЗИ по требованиям ее безопасности включает аттестацию объектов информатизации и подлежит государственной регистрации в установленном Госстандартом России порядке.

Государственный стандарт организует деятельность системы сертификации в пределах ее компетенции, определенной законодательными и иными нормативными актами Российской Федерации.

Объектами информатизации, аттестуемыми по требованиям безопасности: автоматизированные системы (АС) различного уровня и назначения; системы связи; системы отображения и размножения документов вместе с помещениями, в которых они установлены, предназначенные для обработки и передачи информации, подлежащей защите; помещения, предназначенные для ведения конфиденциальных переговоров.

Цели создания системы сертификации:

• обеспечение реализации требований государственной системы ЗИ;

• создание условий для качественного и эффективного обеспечения потребителей сертифицированными средствами ЗИ;

• обеспечение национальной безопасности в сфере информатизации;

• содействие формированию рынка защищенных информационных технологий и средств их обеспечения;

• формирование и осуществление единой научно–технической и промышленной политики в сфере информатизации с учетом современных требований по ЗИ;

• поддержка проектов и программ информатизации.

Перечень средств ЗИ, подлежащих обязательной сертификации, разрабатывается Гостехкомиссией России, согласовывается с Межведомственной комиссией по защите государственной тайны и включает: средства, в том числе иностранного производства, предназначенные для ЗИ, составляющей государственную тайну и другой информации с ограниченным доступом; средства, использующиеся в управлении экологически опасными объектами.

Для средств, используемых в других целях сертификация носит добровольный характер (добровольная сертификация) и осуществляется по инициативе разработчика, изготовителя или потребителя средства ЗИ.

Основные схемы сертификации средств ЗИ аналогичны рассмотренным в предыдущем параграфе и дополняются положением о возможности использования, по согласованию с органом по сертификации по требованиям безопасности информации, других схем сертификации, применяемых в международной практике.

Сертификация средств ЗИ осуществляется Гостехкомиссией России и аккредитованными органами по сертификации. Испытания проводятся аккредитованными испытательными центрами (лабораториями) на их материально-технической базе. В отдельных случаях по согласованию с Гостехкомиссией России или органом по сертификации допускается проведение испытаний на испытательной базе разработчика (изготовителя, поставщика, потребителя) данного средства ЗИ. Правила аккредитации определяются действующим в системе "Положением об аккредитации испытательных центров (лабораторий) и органов по сертификации средств защиты информации".

Оплата работ по сертификации конкретных средств ЗИ производится заявителем на основании договоров между участниками сертификации. Сумма средств, израсходованных заявителем на проведение сертификации средства защиты информации, относится на ее себестоимость.

На органы по сертификации и испытательные центры (лаборатории) возлагается ответственность за выполнение возложенных на них функций, обеспечение сохранности государственной тайны, других конфиденциальных сведений, материальных ценностей, предоставленных заявителем, соблюдение авторских прав заявителя при испытаниях его средств защиты информации.

2. Организационная структура системы сертификации

средств зашиты информации по требованиям ее безопасности

В организационную структуру системы сертификации входят: Гостехкомиссия России (федеральный орган по сертификации средств защиты информации); центральный орган системы сертификации средств ЗИ (ЦО); органы по сертификации средств ЗИ (ОС); испытательные центры (лаборатории) (ИЦ); заявители (разработчики) (ЗСЗИ) средств защиты информации; изготовители (ИСЗИ); поставщики (ПСЗИ); потребители (ПСЗИ).

Основными функциями Гостехкомиссии являются:

• создание системы сертификации средств ЗИ;

• установление правил проведения сертификации конкретных видов средств ЗИ в системе сертификации;

• организация функционирования системы сертификации средств ЗИ;

• определение перечня средств защиты информации, подлежащих обязательной сертификации в данной системе;

• установление правил аккредитации и выдачи лицензий на проведение работ по сертификации;

• организация и финансирование разработки нормативных и методических документов системы сертификации средств ЗИ;

• определение центральных органов системы сертификации средств ЗИ (при их необходимости) или выполнение функции этого органа;

• утверждение нормативных документов по безопасности информации, на соответствие которым проводится сертификация средств ЗИ в системе, и методических документов по проведению сертификационных испытаний;

• аккредитация органов по сертификации и испытательных центров (лабораторий), выдача им лицензии на право проведения определенных видов работ;

• ведение государственного реестра участников и объектов сертификации;

• государственный контроль и надзор, установление порядка инспекционного контроля за соблюдением правил сертификации и за сертифицированными средствами ЗИ;

• рассмотрение апелляции по вопросам сертификации;

• представление на государственную регистрацию в Госстандарт России системы сертификации и знака соответствия;

• организация периодической публикации информации о сертификации;

• осуществление взаимодействия с соответствующими уполномоченными органами других стран и международных организаций по вопросам сертификации;

• принятие решение о признании международных и зарубежных сертификатов;

• организация подготовка и аттестации экспертов–аудиторов;

• выдача сертификатов и лицензий на применение знака соответствия;

• приостановление либо отмена действия выданных сертификатов.

• Ряд рассмотренных функций Гостехкомиссия России может передавать центральному органу системы сертификации и органам по сертификации.

Функции центрального органа:

• координация деятельности органов по сертификации и испытательных центров (лабораторий), входящих в систему;

• разработка предложений по номенклатуре средств ЗИ, сертифицируемых в системе, и представление их в Гостехкомиссию России;

• участие в работах по совершенствованию фонда нормативных документов, на соответствие которым проводится сертификация средств ЗИ в системе, и методических документов по проведению сертификационных испытаний;

• участие в рассмотрении апелляций по поводу действий органов по сертификации и испытательных центров (лабораторий), входящих в систему;

• участие в аккредитации органов по сертификации и испытательных центров (лабораторий) по сертификации средств ЗИ, входящих в систему;

• ведение учета, входящих в систему органов по сертификации и испытательных центров (лабораторий), выданных и аннулированных сертификатов и лицензий на применение знака соответствия, нормативных и методических документов, содержащих правила, требования, методики и рекомендации по сертификации;

• обеспечение участников сертификации информацией о деятельности системы и подготовка необходимых материалов для опубликования.

Функции органов по сертификации средств ЗИ в пределах установленной части ведения аккредитации:

• определение схемы проведения сертификации конкретных средств ЗИ с учетом предложений заявителя;

• уточнение требований, на соответствие которых проводятся сертификационные испытания;

• выбор и рекомендации заявителю испытательного центра (лаборатории);

• утверждение программы и методики проведения сертификационных испытаний:

• проведение экспертизы технической, эксплуатационной документации на средства ЗИ и материалов сертификационных испытаний этих средств;

• оформление экспертного заключения по сертификации средств защиты информации, проектов сертификатов и лицензий на применение знака соответствия и представление их в Гостехкомиссию России;

• организация, при необходимости, предварительной проверки (аттестации) производства сертифицируемых средств защиты информации;

• участие в аккредитации испытательных центров (лабораторий);

• участие в инспекционном контроле за стабильностью характеристик сертифицированных средств ЗИ и за деятельностью испытательных центров (лабораторий);

• хранение документации (оригиналов), подтверждающих сертификацию средств защиты информации;

• ходатайство перед Гостехкомиссией России об отмене действия выданных сертификатов;

• формирование и актуализация фонда нормативных и методических документов, необходимых для сертификации, участие в их разработке;

• представление заявителю необходимую информацию по сертификации.

Функции испытательных центров (лабораторий):

• сертификационные испытания конкретных средств, образцов ЗИ;

• оформление заключения и протоколов сертификационных испытаний;

• разработка программы и методики сертификационных испытаний;

• осуществление отбора образцов средств ЗИ для сертификационных испытаний;

• участие в предварительной проверке (аттестации) производства сертифицируемых средств ЗИ.

На испытательные центры (лаборатории) возлагается ответственность за полноту испытаний средств защиты информации, достоверность, объективность, заданную точность измерений; своевременную проверку средств, измерений и аттестацию испытательного оборудования.

Функции заявителей (разработчиков, изготовителей, поставщиков, потребителе средств защиты информации):

- обеспечение соответствия средств ЗИ требованиям нормативных документов по безопасности информации;

- осуществление подготовки производства и принятие мер для обеспечения стабильности характеристик средств ЗИ, определяющих ее безопасность;

- указание в технической документации сведений о сертифицированном средстве ЗИ, нормативных документах, которым оно должно соответствовать, обеспечение доведения этой информации до потребителя;

- маркировка сертифицированных средств ЗИ знаком соответствия в порядке, установленном правилами системы сертификации:

- применение сертификата и знака соответствия, руководствуясь законодательными актами Российской Федерации и правилами системы сертификации;

- извещение органов по сертификации и испытательного центра (лаборатории), проводивших сертификацию о всех изменениях в технологии, конструкции (составе) сертифицированных средств ЗИ для принятия решения о необходимости проведения повторной сертификации данных средств ЗИ;

- обеспечение беспрепятственного выполнения своих полномочий должностными лицами органов, осуществляющих инспекционный контроль за сертифицированными средствами ЗИ;

- приостановление или прекращение реализации средств ЗИ, не соответствующих требованиям норм, а также по истечении срока действия сертификата при приостановке его действия или отмене;

- проведение мероприятий по доработке средств ЗИ и проведению сертификационных испытаний при обнаружении несоответствия сертифицированных средств ЗИ требованиям нормативных документов.

Для организации и веления соответствующего вида деятельности заявители (разработчики, изготовители, поставщики) должны иметь лицензию Гостехкомиссии России.

Требования к аккредитируемым органам по сертификации и испытательным центрам (лабораториям): обязательность наличия юридического лица; наличие подготовленных специалистов; обеспеченность необходимыми средствами измерений, испытательным оборудованием и методиками испытаний, нормативными документами для проведения всего комплекса работ по испытаниям конкретных средств ЗИ в своей области аккредитации; наличие лицензии Гостехкомиссии России на соответствующие виды деятельности.

Аккредитация в качестве органов по сертификации и испытательных центров (лабораторий) предприятий, подведомственных федеральным органам исполнительной власти, осуществляется по представлению этих органов власти.

3. Порядок проведения сертификации и контроля

средств защиты информации

Порядок проведения сертификации включает этапы:

1. подачи и рассмотрение заявки на сертификацию средств ЗИ;

2. испытания сертифицируемых средств и аттестации их производства;

3. экспертизы результатов испытаний, оформления, регистрации и выдачи сертификата и лицензии на право использования знака соответствия;

4. государственного контроля и надзора инспекционного контроля за соблюдением правил обязательной сертификации и за сертифицированными средствами ЗИ;

5. информирования о результатах сертификации средств ЗИ и рассмотрения апелляций.

Первый этап включает

направление заявителем в Гостехкомиссию России заявки на проведение испытаний с указанием схемы проведения сертификации, стандартов и иных нормативных документов, на соответствие требованиям которых должна проводиться сертификация;

направление, в месячный срок после получения заявки, Гостехкомиссией России заявителю, назначенному для проведения сертификации органу и испытательному центру (лаборатории), решения на проведение сертификации. По желанию заявителя орган по сертификации и испытательный центр (лаборатория) могут быть изменены;

обязательное представление заявителем, после получения решения, в орган по сертификации и испытательный центр (лабораторию) средств ЗИ, технических условий на них, комплекта технической и эксплуатационной документации согласно нормативным документам по единой системе конструкторской (ЕСКД) и проектной документации (ЕСПД) на сертифицируемое средство ЗИ.

Второй этап предполагает использование образцов, конструкций, состав и технология изготовления которых должны быть аналогичны поставляемым потребителю или заказчику по программам и методикам испытаний, согласованными с заявителем и утвержденными органом по сертификации. Техническая и эксплуатационная документация на серийные средства ЗИ должна иметь литеру не ниже "01" (по ЕСКД).

Количество образцов, порядок их отбора и идентификации должны соответствовать требованиям нормативных и методических документов на данный вид средства ЗИ. При отсутствии на момент сертификации испытательных центров (лабораторий) орган по сертификации определяет возможность, место и условия проведения испытаний, обеспечивающих объективность их результатов. Сроки проведения испытаний устанавливаются договором между заявителем и испытательным центром (лабораторией). По просьбе заявителя его представителям должна быть предоставлена возможность ознакомиться с условиями хранения и испытаний образцов средств ЗИ в испытательном центре (лаборатории).

Результаты испытаний оформляются протоколами и заключением, которые направляются испытательным центром (лабораторией) органу по сертификации, а копии – заявителю.

При внесении изменений в конструкцию, состав средств ЗИ или технологию их производства, которые могут повлиять на характеристики средств ЗИ, заявитель извещает об этом орган по сертификации, который принимает решение о необходимости проведения новых испытаний этих средств ЗИ.

Третий этап включает:

• проведение экспертизы результатов испытаний, оформления экспертного заключения и проекта сертификата при соответствии результатов испытаний требованиям нормативных документов по ЗИ и направление этих документов и технических условий на средство ЗИ в Гостехкомиссию России;

• утверждение экспертного заключения, согласование технических условий на средство защиты информации, присвоение сертификату регистрационного номера Гостехкомиссией России;

• оформление сертификата и выдачу всех документов заявителю. Срок действия сертификата – до 5 лет;

• принятие решения Гостехкомиссией России об отказе в выдаче сертификата и направление заявителю мотивированного заключения в случае несоответствия результатов испытаний требованиям стандартов или иных нормативных документов по ЗИ. Получение сертификата изготовителем дает ему право получить у Гостехкомиссии России сертификационную лицензию на маркировку средств ЗИ знаком соответствия, форма которого устанавливается Гостехкомиссией. Владелец лицензии на применение знака соответствия несет ответственность за поставку маркированных средств ЗИ, не отвечающих требованиям нормативной и методической документации, указанной в сертификате.

• обращение заявителя в апелляционный совет Гостехкомиссии России для дополнительного рассмотрения материалов сертификации в случае несогласия его с отказом;

• направление заявителем копии зарубежного сертификата и заявки в Гостехкомиссию России при необходимости его признания в России. Гостехкомиссия уведомляет заявителя о признании или необходимости проведения сертификационных испытаний не позднее двух месяцев после получения копии и заявки, а в случае признания последних заявителю выдается сертификат установленного образца.

Четвертый этап, включающий соответствующие виды контроля осуществляет Гостехкомиссия России. Объем, содержание, порядок, периодичность и правила организации и осуществления контроля за конкретными видами сертифицированных средств ЗИ устанавливаются нормативной и методической документацией действующей в системе сертификации средств ЗИ.

Инспекционный контроль сертифицированных средств ЗИ осуществляет орган, проводивший сертификацию. По результатам контроля Гостехкомиссия России может приостановить или отменить действие сертификата и аттестата аккредитации, а орган по сертификации – ходатайствовать об этом. Решение об отмене действия сертификата принимается только в том случае, если в результате принятых незамедлительных мер не может быть восстановлено соответствие средств ЗИ установленным требованиям в силу следующих причин: - изменения нормативных и методических документов на средства ЗИ или методов испытаний и контроля; - изменения конструкции (состава), комплектности средств ЗИ, системы контроля их качества; - невыполнения требований технологии изготовления, контроля, испытаний средств ЗИ; - отказа заявителя в допуске (приеме) лиц, уполномоченных осуществлять государственный контроль и надзор, инспекционный контроль за сертификацией и за сертифицированными средствами ЗИ.

Информация о приостановлении (отмене) действия сертификата или аттестата аккредитации немедленно доводится до сведения изготовителей, потребителей средств ЗИ, органов по сертификации и испытательных центров (лабораторий).

Пятый этап, представляющий информирование о сертификации средств ЗИ и рассмотрение апелляций, является одной из важных функций Гостехкомиссии, которая она обеспечивает участников сертификации и представляет необходимую информацию о деятельности системы сертификации, в том числе: - перечень средств ЗИ (их сертифицированных параметров), на которые выданы сертификаты; перечень средств ЗИ (их сертифицированных параметров), на которые действие сертификатов отменено; перечень органов по сертификации конкретных видов средств ЗИ; - перечень испытательных центров (лабораторий); - перечень нормативных документов, на соответствие требованиям которых проводится сертификация средств ЗИ, и методических документов по проведению сертификационных испытаний.

Апелляция подается в орган по сертификации, центральный орган или в апелляционный совет Гостехкомиссии России по вопросам, связанным с деятельностью испытательных центров (лабораторий), органов по сертификации и рассматривается в месячный срок с привлечением заинтересованных сторон. О принятом решении извещается податель апелляции.

4. Требования к нормативным и методическим документам

по сертификации средств защиты информации

Основными требованиями к государственным стандартам, нормативным документам по безопасности информации, программам и методикам испытаний, на основе которых осуществляется сертификация, являются:

обязательность использования стандартов на методы испытаний, если в документации на средства ЗИ в части проверки технических характеристик, подлежащих сертификации, установлена ссылка на эти стандарты;

пригодность для целей сертификации, утверждаемых нормативных и методических документов. Экспертное заключение должно содержать сведения об этих документах;

ясность и четкость, единообразие толкование текстов нормативных и методических документов, используемых при сертификации средств ЗИ;

наличие в разделе "Область применения" сертификационных документов указания о возможности использования документа (стандарта, технического требования и т. д.) для целей сертификации;

наличие в специальном разделе или отдельных ссылок на другой нормативный документ сведений и указаний на методы, условия, объем и порядок испытаний для определения показателей, характеристик и требований, проверяемых при сертификации, последовательность проведения испытаний, если она влияет на их результаты. Содержание и изложение этих сведений должны обеспечивать минимальные погрешности результатов испытаний и позволять квалифицированному персоналу любого испытательного центра (лаборатории) получать сопоставимые результаты;

наличие в разделе "Маркировка" требований, обеспечивающих однозначную идентификацию средства ЗИ, а также указания о способе нанесения знака соответствия;

официальность русского языка для оформления всех нормативных и методических документов системы сертификации.

10.4. Аккредитация испытательных лабораторий и органов сертификации средств защиты информации

Аккредитация испытательных лабораторий и органов по сертификации средств ЗИ осуществляется на основе следующих нормативных правовых актов: - закона Российской Федерации "О сертификации продукции и услуг"; - постановления Правительства Российской Федерации "О сертификации средств защиты информации"; - положения о "Системе сертификации ГОСТ Р"; правил по проведению сертификации в Российской Федерации; положения о сертификации средств ЗИ по требованиям безопасности информации; - положения о государственном лицензировании деятельности в области защиты информации.

Рассматриваемая аккредитация предприятия в качестве органа по сертификации, является официальным признанием его технической компетентности и независимости от разработчиков, изготовителей (поставщиков) и заказчиков (потребителей) испытываемых средств ЗИ для организации и проведения испытаний в соответствии с требованиями стандартов или иных нормативных документов. Аккредитация предприятия в качестве испытательной лаборатории может являться официальным признанием только ее технической компетентности в проведении испытаний. Испытание для целей сертификации допускается проводить лишь под контролем представителей органа по сертификации соответствующих средств ЗИ. Аккредитация производится только при наличии лицензий на соответствующие виды деятельности.

При аккредитации предприятия ему выдается Аттестат аккредитации соответствующего образца с указанием области аккредитации. Срок действия Аттестата аккредитации не должен превышать пяти лет. Требования аккредитации, устанавливаются в соответствии с нормативными документами и являются общими для всех видов испытаний средств ЗИ и при необходимости могут быть дополнены другими требованиями, исходя из специфики деятельности конкретного предприятия. Аккредитацию предприятий осуществляет Государственная техническая комиссия при Президенте Российской Федерации.

Порядок аккредитации предприятия, в соответствии с требованиями нормативных документов, может быть представлен этапами: 1) рассмотрение документов, представленных предприятием; 2) проверка предприятия комиссией, определяемой Гостехкомиссией; 3) принятие решения об аккредитации по результатам проверки; 4) оформление, регистрация и выдача Аттестата аккредитации.

Содержание этих этапов предполагает соответствующие действия со стороны предприятий и органов, осуществляющих аккредитацию.

Предприятия, претендующее на аккредитацию подает: 1) заявку на аккредитацию установленной формы; 2) проект Положения об органе по сертификации или испытательной лаборатории с заявляемой областью аккредитации; 3) в случае аккредитации предприятия в качестве испытательной лаборатории средств ЗИ к заявке дополнительно прикладываются паспорт испытательной лаборатории и анкета-опросник.

Руководитель Гостехкомиссии после рассмотрения представленных материалов создается и утверждает комиссию по проверке предприятия в составе специалистов территориальных органов Гостехкомиссии России, отраслевых, региональных центров по ЗИ, других организаций и предприятий, компетентных в области ЗИ. Содержание проверки включает выявление соответствия фактического состояния предприятия представленным документам и на его способности выполнять заявленные функции.

По результатам проверки комиссия составляет акт. Решение об аккредитации предприятия принимается после рассмотрения всей полученной информации о состоянии этого предприятия и его готовности к аккредитации. Аккредитованное предприятие вносится Гостехкомиссией России в государственный реестр системы и ему выдается Аттестат аккредитации. Аккредитация в дополнительной области проводится в случае, если орган по сертификации, испытательная лаборатория, претендующие на расширение своей области аккредитации, направляют заявку на аккредитацию в дополнительной области. К заявке прилагаются сведения о дополнительной области аккредитации и дополнения к Паспорту. Аккредитация может проводиться по полной или сокращенной программе, устанавливаемой в каждом конкретном случае.

За шесть месяцев до окончания срока действия Аттестата аккредитации предприятие, имеющее намерение продлить его действие, направляет заявку на повторную аккредитацию, порядок которой устанавливается в зависимости от результатов контроля и может проводиться по полной или сокращенной процедуре, устанавливаемой в каждом конкретном случае.

Контроль и надзор за деятельностью аккредитованных испытательных лабораторий и органов по сертификации может осуществляться в виде: 1) периодических проверок; 2) предоставления предприятием регулярной информации о качестве проводимых им испытаний, о результатах периодических внутренних проверок системы обеспечения качества испытаний, о претензиях клиентов и т. д.; 3) любых других действий контрольного характера, обеспечивающих уверенность в том, что предприятие в течение срока действия Аттестата аккредитации соответствует требованиям, предъявленным к нему при аккредитации.

Условия контроля аккредитованного предприятия определяются в соответствующем Положении об органе по сертификации (испытательной лаборатории). Расходы на проведение всех видов работ по аккредитации предприятий в качестве испытательных лабораторий и органа по сертификации, осуществлению контроля и надзора за их деятельностью оплачиваются заявителями в порядке, установленном Гостехкомиссией по согласованию с Министерством финансов России.

Основными условиями, пои которых может быть осуществлено аннулирование аккредитации предприятий являются: несоответствие предприятия требованиям, предъявляемым к аккредитованным предприятиям; принятие самостоятельного решения аккредитованного предприятия о досрочном прекращении действия аккредитации.

Опротестование любого вопроса аккредитации в Госарбитраже России со стороны предприятия может быть осуществлено в течение 15 дней.

10.5.Аттестация объектов информатизации по требованиям безопасности информации

Аттестация объектов информатизации - комплекс организационно-технических мероприятий по проверке (аттестационным испытаниям) защищаемого объекта информатизации в реальных условиях эксплуатации.

Цель аттестации - оценка соответствия применяемого комплекса мер и средств защиты требуемому уровню безопасности информации, в результате которых Аттестатом соответствия подтверждается, соответствие объекта требованиям стандартов, иных нормативно-технических документов по безопасности информации, утвержденных Гостехкомиссией России.

Объекты информатизации, аттестуемые по требованиям безопасности информации – автоматизированные системы различного уровня и назначения, системы связи, отображения и размножения вместе с помещениями, в которых они установлены, предназначенные для обработки и передачи информации, подлежащей защите, а также сами помещения, предназначенные для ведения конфиденциальных переговоров.

Принципы, организационная структура системы аттестации объектов информатизации по требованиям безопасности информации, порядок проведения аттестации, а также контроля, надзора за аттестацией и эксплуатацией аттестованных объектов информатизации определены соответствующими нормативными правовыми актами.

Система аттестации объектов информатизации по требованиям безопасности информации (система аттестации) - составная часть единой системы сертификации средств ЗИ и аттестации объектов информатизации по требованиям безопасности информации, которая подлежит государственной регистрации в установленном Госстандартом России порядке.

Аттестацию организует федеральный орган, а проводит соответствующий орган по сертификации продукции и аттестации объектов информатизации по требованиям безопасности информации (федеральный орган по сертификации и аттестации), которым является Гостехкомиссия России.

Обязательной аттестации подлежат объекты информатизации, предназначенные для обработки информации, составляющей государственную тайну, управления экологически опасными объектами, ведения секретных переговоров. В остальных случаях аттестация носит добровольный характер (добровольная аттестация) и может осуществляться по инициативе заказчика или владельца объекта информатизации.

Наличие на объекте информатизации действующего Аттестата соответствия, дает право обработки информации с уровнем секретности (конфиденциальности) и на период времени, установленным в Аттестате соответствия.

Аттестация по требованиям безопасности информации предшествует началу обработки подлежащей ЗИ и вызвана необходимостью официального подтверждения эффективности комплекса используемых на конкретном объекте информатизации мер и средств ЗИ. При аттестации объекта информатизации подтверждается его соответствие требованиям по ЗИ от НСД, в том числе от: компьютерных вирусов; утечки за счет побочных, электромагнитных излучений и наводок; утечки при специальных воздействиях на объект (высокочастотное при специальных воздействиях на объект (высокочастотное навязывание и облучение, электромагнитное и радиационное воздействие); утечки или воздействия на информацию за счет специальных устройств, встроенных в объекты информатизации.

Схема аттестации выбирается органом на этапе подготовки к аттестации из следующего основного перечня работ: анализ исходных данных по аттестуемому объекту информатизации; предварительное ознакомление с аттестуемым объектом информатизации; экспертное обследование объекта информатизации и анализ разработанной документации по ЗИ на этом объекте с точки зрения ее соответствия требованиям нормативной и методической документации; испытания отдельных средств и систем ЗИ на аттестуемом объекте информатизации с помощью специальной контрольной аппаратуры и тестовых средств; испытание отдельных средств и систем ЗИ в испытательных центрах (лабораториях) по сертификации средств ЗИ по требованиям безопасности информации; комплексные аттестационные испытания объекта информатизации в реальных условиях эксплуатации; анализ результатов экспертного обследования и комплексных аттестационных испытаний объекта информатизации и утверждение заключения по результатам аттестации.

Органы по аттестации аккредитуются Гостехкомиссией России в соответствии с правилами аккредитации, определяемыми действующим в системе "Положением об аккредитации испытательных лабораторий и органов по сертификации средств ЗИ по требованиям безопасности информации". При необходимости права на аккредитацию отраслевых (ведомственных) органов по аттестации Гостехкомиссия России может передавать другим органам государственной власти.

Расходы по проведению всех видов работ и услуг по обязательной и добровольной аттестации объектов информатизации оплачивают заявители в соответствии с договором по утвержденным расценкам, а при их отсутствии - по договорной цене в порядке, установленном Гостехкомиссией по согласованию с Министерством финансов Российской Федерации. Эти расходы заявители оплачивают за счет финансовых средств, выделенных на разработку (доработку) и введение в действие защищаемого объекта информатизации.

На органы по аттестации объектов информатизации возложена ответственность: 1) за выполнение возложенных на них функций; 2) обеспечение сохранности государственных и коммерческих секретов; 3) соблюдение авторских прав разработчиков аттестуемых объектов информатизации и их компонентов.

В состав организационной структуры системы аттестации объектов информатизации входят:

1) федеральный орган по сертификации средств ЗИ и аттестации объектов информатизации по требованиям безопасности информации – Гостехкомиссия России;

2) органы по аттестации объектов информатизации по требованиям безопасности информации;

3) испытательные центры (лаборатории) по сертификации продукции по требованиям безопасности информации;

4) заявители (заказчики, владельцы, разработчики аттестуемых объектов информатизации).

Основные функции федерального органа: организация обязательной аттестации объектов информатизации; создание системы аттестации объектов информатизации и установление правил для проведения аттестации в этих системах; установление правил аккредитации и выдачи лицензий на проведение работ по обязательной аттестации; организация, финансирование разработка и утверждение нормативных и методических документов по аттестации объектов информатизации; аккредитация органов по аттестации объектов информатизации и выдача им лицензии на проведение определенных видов работ; осуществление государственного контроля и надзора за соблюдением правил аттестации и эксплуатацией аттестованных объектов информатизации; рассмотрение апелляций, возникающих в процессе аттестации объектов информатизации и контроля эксплуатации аттестованных объектов информатизации; организация периодической публикации информации по функционированию системы аттестации объектов информатизации по требованиям безопасности информации.

Структура органов по аттестации объектов информатизации, которые аккредитуются Гостехкомиссией России и получают от нее лицензию на право проведения аттестации объектов информатизации, включает: отраслевые органы по аттестации объектов информатизации; региональные учреждения; предприятия и организации по защите информации; специальные центры Гостехкомиссии России.

На эти органы возлагаются следующие функции: аттестация объектов информатизации и выдача Аттестаты соответствия; осуществление контроля безопасности информации, циркулирующей на аттестованных объектах информатизации и их эксплуатации; отмена и приостановление действия выданных органом Аттестатов соответствия; формирование фонда нормативной и методической документации для аттестации конкретных типов объектов информатизации, участие в их разработке; ведение информационной базы аттестованных органом объектов информатизации; осуществление взаимодействия с Гостехкомиссией России и ежеквартальное информирование его о своей деятельности в области аттестации.

Испытательные центры (лаборатории) по сертификации по заказам заявителей проводят испытания несертифицированной продукции, используемой на объекте информатики, подлежащем обязательной аттестации, в соответствии с "Положением о сертификации средств ЗИ по требованиям безопасности информации".

Функции заявителей:

• проведение подготовки объекта информатизации для аттестации путем реализации необходимых организационно–технических мероприятий по ЗИ;

• привлечение органов по аттестации для организации и проведения аттестации объекта информатизации;

• предоставление органам по аттестации необходимые документы и создание условия для проведения аттестации;

• привлечение, в необходимых случаях, для проведения испытаний несертифицированных средств ЗИ, используемых на аттестуемом объекте информатизации, испытательных центров (лабораторий) по сертификации;

• осуществление эксплуатации объекта информатизации в соответствии с условиями и требованиями, установленными в Аттестате соответствия;

• извещение органа выдавшего Аттестат соответствия, о всех изменениях в информационных технологиях, составе и размещении средств и систем, условиях их эксплуатации, которые могут повлиять на эффективность мер и средств ЗИ (перечень характеристик, определяющих безопасность информации, об изменениях которых требуется обязательно извещать орган по аттестации, приводится в Аттестате соответствия);

• предоставление необходимых документов и создание условия для осуществления контроля и надзора за эксплуатацией объекта информатизации, прошедшего обязательную аттестацию.

Порядок проведения аттестации и контроля объектов информатизации по требованиям безопасности информации включает этапы:

1. заблаговременную подачу заявителем заявки на аттестацию в соответствующий орган на проведение аттестации с исходными данными по аттестуемому объекту информатизации в установленной форме;

2. рассмотрение заявки органом по аттестации в месячный срок и на основании анализа исходных данных выбор схемы аттестации, согласование ее с заявителем и принятие решения о проведении аттестации объекта информатизации;

3. предварительное ознакомление с аттестуемым объектом, проводимое при недостаточности исходных данных по аттестуемому объекту информатизации. При этом в схему аттестации включаются работы по предварительному ознакомлению с аттестуемым объектом, проводимые до этапа аттестационных испытаний;

4. испытание несертифицированных средств и систем ЗИ, используемых на аттестуемом объекте информатизации. Проводятся, при необходимости, в случаях использовании на аттестуемом объекте информатизации несертифицированных средств и систем ЗИ. Для этого в схему аттестации включаются работы по испытаниям этих средств и систем в испытательных центрах (лабораториях) по сертификации или непосредственно на аттестуемом объекте информатизации с помощью специальной контрольной аппаратуры и тестовых средств. Такие испытания проводятся до аттестационных испытаний объектов информатизации. В этом случае заявителем к началу аттестационных испытаний должны быть представлены заключения органов по сертификации средств ЗИ по требованиям безопасности информации и сертификаты;

5. На основании данных предыдущих этапов (результатов рассмотрения заявки и анализа исходных данных, предварительного ознакомления с аттестуемым объектом) органом по аттестации разрабатывается программа и методики аттестационных испытаний. Программа включает:

   1. перечень работ и их продолжительность;

   2. методики испытаний (или используются типовые методики);

   3. количественный и профессиональный состав аттестационной комиссии, назначаемой органом по аттестации объектов информатизации;

   4. обоснование необходимости использования контрольной аппаратуры и тестовых средств на аттестуемом объекте информатизации или привлечения испытательных центров (лабораторий) по сертификации средств ЗИ по требованиям безопасности информации;

   5. отметки о согласовании аттестационных испытаний с заявителем.

Методики испытаний объектов информатизации включают порядок, содержание, условия, методы испытаний для оценки характеристик и показателей, проверяемых при аттестации, соответствия их установленным требованиям, а также применяемые в этих целях контрольная аппаратура и тестовые средства, которые определяются в договоре на аттестацию;

6) Этап подготовки завершается заключением договора между заявителем и органом по аттестации на проведение аттестации, заключением договоров (контрактов) органа по аттестации с привлекаемыми экспертами и оформлением предписания о допуске аттестационной комиссии к проведению аттестации. Оплата работы членов аттестационной комиссии производится органом по аттестации в соответствии с заключенными трудовыми договорами (контрактами) за счет финансовых средств от заключаемых договоров на аттестацию объектов информатизации;

7) проведение аттестационных испытаний объекта информатизации включает:

- анализ организационной структуры объекта информатизации, информационных потоков, состава и структуры комплекса технических средств и программного обеспечения, системы ЗИ на объекте, разработанной документации, и ее соответствия требованиям нормативной документации по ЗИ;

- определение правильности категорирования объектов ЭВТ и классификации АС (при аттестации автоматизированных систем), выбор и применение сертифицированных и несертифицированных средств и систем ЗИ;

- проведение испытания несертифицированных средств и систем ЗИ на аттестуемом объекте или анализа результатов их испытаний в испытательных центрах (лабораториях) по сертификации;

- проверку уровня подготовки кадров и распределения ответственности персонала за обеспечение выполнения требований по безопасности информации;

- проведение комплексных аттестационных испытаний объекта информатизации в реальных условиях эксплуатации путем проверки фактического выполнения установленных требований на различных этапах технологического процесса обработки защищаемой информации;

- оформление протоколов испытаний и заключения по результатам аттестации с конкретными рекомендациями по устранению допущенных нарушений, приведению системы защиты объекта информатизации в соответствие с установленными требованиями и совершенствованию этой системы, а также рекомендациями по контролю функционирования объекта информатизации.

Заключение по результатам аттестации с краткой оценкой соответствия объекта информатизации требованиям по безопасности информации, выводом о возможности выдачи Аттестата соответствия и необходимыми рекомендациями подписывается членами аттестационной комиссии и доводится до сведения заявителя. К заключению прилагаются протоколы испытаний, подтверждающие полученные при испытаниях результаты и обосновывающие приведенный в заключении вывод. Протоколы подписываются экспертами – членами аттестационной комиссии, проводившими испытания. После чего заключение и протоколы испытаний подлежат утверждению органом по аттестации.

8) выдача заявителю Аттестата соответствия оформляется, регистрируется и выдается органом по аттестации после утверждения заключения по результатам аттестации. Регистрация осуществляется по отраслевому или территориальному признаку с целью ведения информационной базы аттестованных объектов информатизации и планирования мероприятий по контролю и надзору. Ведение сводных информационных баз аттестованных объектов информатизации осуществляется Гостехкомиссией России или по ее поручению одним из органов надзора за аттестацией и эксплуатацией аттестованных объектов.

Аттестат соответствия выдается владельцу аттестованного объекта информатизации органом по аттестации на период в течении которого обеспечивается неизменность условий функционирования объекта информатизации и технологии обработки защищаемой информации, потенциально влияющих на характеристики, определяющие безопасность информации (состав и структура технических средств, условия размещения, используемое программное обеспечение, режимы обработки информации, средства и меры защиты), но не более чем на три года. Владелец аттестованного объекта информатизации несет ответственность за выполнение установленных условий функционирования объекта информатизации, технологии обработки защищаемой информации и требований по безопасности информации.

При изменения условий и технологии обработки защищаемой информации, владельцы аттестованных объектов обязаны известить об этом орган по аттестации, который принимает решение о необходимости проведения дополнительной проверки эффективности системы защиты объекта информатизации.

В случае несоответствия аттестуемого объекта требованиям по безопасности информации и невозможности оперативно устранить отмеченные аттестационной комиссией недостатки орган по аттестации принимает решение об отказе в выдаче Аттестата соответствия. При этом может быть предложен срок повторной аттестации при условии устранения недостатков. При наличии замечаний непринципиального характера Аттестат соответствия может быть выдан после проверки устранения этих замечаний.

9) осуществление государственного контроля и надзора, инспекционного контроля за проведением аттестации и эксплуатацией аттестованных объектов информатизации. Рассматриваемые виды контроля проводятся Гостехкомиссией России, как в процессе, так и по завершении аттестации, а за эксплуатацией аттестованных объектов информатизации – периодически в соответствии с планами работы по контролю и надзору. При этом Гостехкомиссия может передавать некоторые свои функций государственного контроля и надзора аккредитованным органам по аттестации. Объем, содержание, порядок государственного контроля и надзора устанавливаются в нормативной, методической документации по аттестации объектов информатизации и включает:

- проверку правильности и полноты проводимых мероприятий по аттестации объектов информатизации, оформления и рассмотрения органами по аттестации отчетных документов и протоколов испытаний;

- своевременное внесение изменений в нормативную и методическую документацию по безопасности информации;

- инспекционный контроль эксплуатации аттестованных объектов информатизации.

При наличии грубых нарушений органом по аттестации требований стандартов или иных нормативных и методических документов по безопасности информации, выявленных при контроле и надзоре, орган по аттестации может быть лишен лицензии на право проведения аттестации объектов информатизации, а расходы по осуществлению контроля и надзора могут быть по решению Госарбитража взысканы с органа по аттестации. Повторная аттестация может быть также осуществлена за счет этого органа по аттестации.

В случаях выявления контролирующим органом нарушения правил эксплуатации аттестованных объектов информатизации, технологии обработки защищаемой информации и требований по безопасности информации может быть приостановлено или аннулировано действие Аттестата соответствия, с оформлением этого решения в Аттестате соответствия и информированием органа, ведущего сводную информационную базу аттестованных объектов информатизации, а также Гостехкомиссии. Решение об аннулировании действия Аттестата соответствия принимается в случае, когда в результате оперативного принятия организационно–технических мер защиты не может быть восстановлен требуемый уровень безопасности информации.

Расходы по осуществлению надзора за обязательной аттестацией и эксплуатацией объектов, прошедших обязательную аттестацию, оплачиваются органом надзора из средств госбюджета, выделенных ему в этих целях.

10) в случае несогласия заявителя с отказом в выдаче Аттестата соответствия он имеет право обратиться в вышестоящий орган по аттестации или непосредственно в Гостехкомиссию России с апелляцией для дополнительного рассмотрения полученных при испытаниях результатов. В месячный срок апелляция рассматривается с привлечением заинтересованных сторон. Податель апелляции извещается о принятом решении.

Основные требования к нормативным и методическим документам по аттестации объектов информатизации:

состав нормативной и методической документации определяется органом по аттестации в зависимости от вида и условий функционирования объектов информатизации на основании анализа исходных данных по аттестуемому объекту;

в нормативную документацию включаются только те показатели, характеристики и требования, которые могут быть объективно проверены;

в нормативной и методической документации на методы испытаний должны быть ссылки на условия, содержание и порядок проведения испытаний, используемые при испытаниях контрольную аппаратуру и тестовые средства, сводящие к минимуму погрешности результатов испытаний и позволяющие воспроизвести эти результаты;

тексты нормативных и методических документов, используемых при аттестации объектов информатизации, должны быть сформулированы ясно и четко, обеспечивая их точное и единообразное толкование с указаниями о возможности использования документа для аттестации определенных типов объектов информатизации по требованиям безопасности информации или направлений ЗИ;

официальным языком системы аттестации является русский язык.

Исходные данные по аттестуемому объекту информатизации являются:

полное и точное наименование объекта информатизации и его назначение;

характер обрабатываемой информации (научно–техническая, экономическая, производственная, финансовая, военная, политическая) и уровень секретности (конфиденциальности), определенный в соответствии государственным, отраслевым, ведомственным и перечнем предприятия.

Организационная структура объекта информатизации включает:

перечень помещений, состав комплекса технических средств (основных и вспомогательных), объекта информатизации, обрабатывающих указанную информацию их расположенные в помещениях;

особенности и схема расположения объекта информатизации с указанием границ контролируемой зоны;

структура программного обеспечения (общесистемного и прикладного), используемого на аттестуемом объекте информатизации и предназначенного для обработки защищаемой информации, используемые протоколы обмена информацией;

общая функциональная схема объекта информатизации, включая схему информационных потоков и режимы обработки защищаемой информации;

наличие и характер взаимодействия с другими объектами информатизации;

состав и структура системы ЗИ на аттестуемом объекте информатизации;

перечень технических и программных средств в защищенном исполнении, средств зашиты и контроля, используемых на аттестуемом объекте информатизации и имеющих соответствующий сертификат, предписание на эксплуатацию;

сведения о разработчиках системы ЗИ, наличие у сторонних разработчиков (по отношению к предприятию, на котором расположен аттестуемый объект информатизации) лицензий на проведение подобных работ;

наличие на объекте информатизации (на предприятии, на котором расположен объект информатизации) службы безопасности информации, службы администратора (автоматизированной системы, сети, баз данных);

наличие и основные характеристики физической защиты объекта информатизации (помещений, обработки и хранения защищаемой информация и ее носителей);

наличие и готовность проектной и эксплуатационной документации на объект информатизации и другие исходные данные по аттестуемому объекту информатизации, влияющие на безопасность информации.

Глава 11. ПРАВОВАЯ ЗАЩИТА КОМПЬЮТЕРНОЙ ИНФОРМАЦИИ

Вопросы:

1. Основные понятия компьютерной информации

2. Понятия и классификация видов компьютерных правонарушений

3. Уголовно-правовая и криминалистическая характеристики компьютерных правонарушений

4. Способы и механизмы совершения компьютерных преступлений

5. Направления правового регулирования защиты компьютерной информации

11.1. Основные понятия компьютерной информации

Широкое использование микропроцессорных средств, их систем и, прежде всего ЭВТ практически во всех сферах деятельности личности, общества и государства обусловило возникновение и развитие новых информационных отношений, предполагающих выработку определенных правил их регулирования и, прежде всего при обеспечении информационной безопасности, реализации комплекса методов, способов и средств защиты компьютерной информации. При реализации такой защиты выделяется ряд особенностей защиты информационной собственности, обусловленные и определяемые:

формами и способами хранения и обработки информации в ЭВТ, АСОИУ, ИВС, спецификой компьютерной информации как объекта права собственности;

преимущественным использованием технических и особенно, программно-технических средств обработки информации;

использованием и реализации технического направления защиты.

Эти особенности, в свою очередь, обусловливают специфическое направление правовой защиты компьютерной информации УК РФ ст.271-274, связанное с рассмотрением общего содержания информационных отношений, возникающих в ходе создания, сбора, обработки, накопления, хранения и распространения компьютерной информации. В рамках информационных отношений можно выделить следующие особенностей компьютерной информации, как объекта информационных отношений:

специфичность содержания и формы представления компьютерной информации, ее производных как предметов правонарушения;

относительная проста пересылки, размножения, копирования, модификации, блокирования;

неизменная сохранность в первоисточнике при ее изъятии;

одновременный доступ к одной и той же информации нескольких пользователей;

непотребляемость объектов (информации) информационных правоотношений в известном материальном смысле и подверженность не физическому, а моральному износу;

использование информационных ресурсов позволяет резко сократить потребление остальных видов ресурсов (материальных и энергетических), что в конечном итоге приводит к большой экономии средств;

особый способ процесса создания и использования объектов информационных отношений – компьютерной информации, обеспечивается с использованием компьютерной техники.

Многообразие особенностей компьютерной информации позволяет говорить о неоднозначности понимания ее содержания, что подтверждается известными работами ученых, специалистов и действующими нормативными правовыми актами.

Определение 1. Компьютерная информация – информация на машинных носителях, в электронно-вычислительной машине (ЭВМ), системе ЭВМ или их сети.

Определение 2. Компьютерная информация – информация, зафиксированная на машинном носителе или передаваемая по телекоммуникационным канала в форме, доступной восприятию ЭВМ.

Определение 3. Компьютерная информация – сведения, знания или набор команд (программ), предназначенных для использования в ЭВМ или управления ими, находящиеся в ЭВМ или на машинных носителях, это – идентифицируемый элемент информационной системы, имеющей собственника, установившего правила ее использования.

Определение 4. Компьютерная (машинная) информация: 1) информация, циркулирующая в вычислительной среде, зафиксированная на машинном (физическом) носителе или передаваемая по телекоммуникационным каналам в форме, доступной восприятию ЭВМ; 2) сформированная в вычислительной среде и пересылаемая посредством электромагнитных сигналов из одной ЭВМ в другую, из ЭВМ на периферийное устройство, либо на управляющий датчик оборудования.

Эти определения позволяют сделать ряд выводов.

1. В представленном в действующем законодательстве понятии компьютерной информации, отражены виды носителей информации УК РФ, ст.272.

2. Содержание понятия в определении 3 отражает широкое разнообразие форм представления информации 44, 45, что позволяет конкретизировать виды правоотношений и соответствующие правонарушения.

3. Рассмотрение информации как продукта, произведенного с помощью и для компьютерной техники, отличающейся от других видов информации (определение 4) позволяет определить направления деятельности соответствующих органов по защите информации, осуществлять выбор и использовать свои методы и способы.

Для информации, обрабатываемой ЭВМ, ее системах и сетях ЭВМ одним из распространенных формальных объектов регулирования информационных отношений является файл.

Файл - это хранитель ограниченного объема информации, существующий физически в ЭВМ, системе или сетях ЭВМ.

Индивидуальные и устойчивые свойства файлов:

тип информации (числовая, текстовая, графическая, программный код, и др.);

местонахождение информации – описание места расположения на временном или постоянном носителе и указание типа носителя;

наименование файла – символьное описание названия;

размер (объем) хранимой информации (количество страниц, абзацев, строк, слов, символов или байт);

время создания и время изменения;

атрибуты информации (архивная, скрытая, системная, только для чтения и др.);

факультативные свойства (тема, автор, создавший или изменивший информацию, организация, где она была создана или изменена, группа в которую включен данный файл, ключевые слова, заметки автора или редактора).

Рассмотрение содержания и особенностей компьютерной информации, а также одной из ее практических форм представления в ЭВМ позволяет перейти к рассмотрению содержания важного компонента информационных отношений, связанного с различного рода правонарушениями.

11.2. Понятия и классификация видов компьютерных правонарушений

Вполне очевидно, что компьютерные правонарушения являются частью информационных правонарушений, которые объединены единым инструментом обработки информации – компьютером. Поэтому, важнейшим основанием выделения специального раздела правонарушений в области компьютерной информации является обработка информации с использованием ЭВМ, ее систем и сетей.

Информационные правонарушения – общественные в том числе и опасные деяния, совершенные в области информационных отношений и запрещенные действующим отечественным и международным законодательством.

Как наиболее опасными являются информационные преступления, представляющие общественно опасные деяния, совершенные в области информационных отношений и запрещенные уголовным законодательством под угрозой наказания. Такие преступления условно можно разделить на две группы: 1) информационные преступления в области компьютерной информации (компьютерные преступления); 2) информационные преступления в области иной информации.

Сложность однозначного определения содержания компьютерной информации, породила и сложность определения содержания и классификации видов компьютерных правонарушений.

Компьютерные правонарушения -общественно опасные деяния, причиняющего вред личности, обществу и государству в области современных информационных технологий.

Сложности формирования единого понятия компьютерных правонарушений обусловлены:

• невозможностью выделения единого объекта правонарушения (посягательства);

• множественностью предметов компьютерных правонарушений (посягательств);

• отрицанием существования компьютерных правонарушения, в том числе преступлений как особой группы правонарушений (или преступлений) в связи с модификацией многих видов правонарушений из-за вовлечения в них ЭВТ, что позволяет говорить лишь о компьютерных аспектах преступлений, не выделяя их в обобщенную группу преступлений;

• определением компьютерных правонарушений как противозаконных действий, объектом или орудием совершения которых являются ЭВМ и др.

Так, можно выделить два известных взгляда по вопросу определения и содержания компьютерных преступлений. Согласно первому - компьютерные преступления являются действия, в которых компьютер является либо объектом, либо орудием посягательств, и, в частности, кража компьютеров рассматривается как один из способов совершения компьютерных преступлений. Согласно второму - к компьютерным преступлениям относятся только противозаконные действия в сфере автоматизированной обработки информации, а главным классифицирующий признаком, отнесения таких преступлений в обособленную группу является общность способов, орудий, объектов посягательств. Таким объектом посягательства является информация, обрабатываемая в компьютерной системе, а компьютер служит орудием посягательства. Этот путь лег в основу формирования и развития законодательств многих стран, в том числе и России. Основные особенности этого направления лежат и в основе формирования законодательства в информационной сфере и сфере информационной безопасности. С учетом этого, рассмотрение основных характеристик правонарушений и, прежде всего компьютерных преступлений, можно осуществлять с учетом действующего уголовного законодательства. Последнее исходит из материального определения понятия преступления, содержание которого состоит в изменении, разрыве конкретного общественного отношения, представляющего собой определенную связь людей по поводу материальных, социальных, идеологических, морально–этических и других ценностей, охраняемых правовыми нормами.

Структура любого общественного отношения всегда состоит из трех основных элементов: субъектов (физических и юридических лиц); объектов (материальных и нематериальных благ); содержания (дозволенного поведение обязанного лица и юридического поведения – субъективных прав и юридических обязанностей). Законодательство всегда охраняет от причинения вреда личность, общество, государство, духовные ценности, блага, социально полезную деятельность. Установления объекта правонарушения из ряда общественных отношений осуществляется путем выделения тех, которые охраняются правовой нормой.

Для наиболее полного выявления качественных свойств объекта конкретных преступлений, роли и значения объекта, а также отражения объективно существующих в действительности различных общественных отношений, можно выделить три вида объектов преступления: 1) общий объект, представляющий совокупность общественных отношений, охраняемых нормами законодательства России; 2) родовой объект – совокупность охраняемых правовыми нормами сходных (родственных), однородных по своему внутреннему содержанию, взаимосвязанных общественных отношений, которые в результате преступления подвергаются разрушению или общественно опасному вредному изменению; 3) непосредственный объект – конкретное общественное отношение (или их совокупность), на которое непосредственно посягает преступление.

В качестве предмета преступления в уголовном праве приняты все материальные предметы внешнего мира, на которые непосредственно направлены действия виновного при посягательстве на объект. Предмет посягательства - это элемент объекта, воздействуя на который, преступник нарушает или пытается нарушить само общественное отношение. Таким образом, преступление часто изменяет предмет посягательства, и эти изменения можно установить. С этих позиций для информационных преступлений рассматривается и основной объект преступного посягательства – информация. Здесь противоправными являются действия, представляющие покушение на информационные отношения общества, личности и государства.

В рамках содержания действующего уголовного законодательства, регулирующего информационные отношения в области компьютерной информации для уточнения понятия компьютерных правонарушений, и прежде всего преступлений, можно выделить наиболее опасные деяния (действия) субъекта в отношении объектов и средств обработки компьютерной информации, таблица 11.1. Эти виды правонарушений в Уголовном кодексе Российской Федерации отражены тремя статьями, которые рассматривают:

- неправомерный доступ к охраняемой законом компьютерной информации, если это деяние повлекло уничтожение, блокирование модификацию либо копирование информации, нарушение работы ЭВМ, системы ЭВМ или их сети;

- создание программ для ЭВМ или внесение изменений в существующие программы, заведомо приводящих к несанкционированному уничтожению, блокированию, модификации, либо копированию информации, нарушению работы ЭВМ, системы ЭВМ или их сети, а равно использование либо распространение таких программ или машинных носителей с такими программами;

- нарушение правил эксплуатации ЭВМ, системы ЭВМ или их сети лицом, имеющим доступ к ЭВМ, системе ЭВМ или их сети, повлекшее уничтожение, блокирование или модификацию охраняемой законом информации ЭВМ.

С позиций уголовного законодательства ряд специалистов рассматривают следующие определения компьютерных преступлений.

1. Компьютерное преступление - предусмотренное законом общественно опасное деяние, в котором компьютерная информация является объектом преступного посягательства, а предметом или орудием преступления являются ЭВМ, система или сеть ЭВМ, а компьютер может выступать одновременно в качестве предмета и орудия преступления.

Более широкий смысл, отражающий аспекты криминалистики является следующие определения.

2. Компьютерное преступление - предусмотренное уголовным законом общественно опасные действия, в котором машинная информация является либо средством, либо объектом преступного посягательства.

Таблица 11.1.

Классификация видов противоправных деяний

в отношении компьютерной информации

Виды субъектов	Виды действий	Виды объектов воздействия	Место нахождения объектов	Виды последствий
Лицо, имеющее доступ к ЭВМ	Неправомерный доступ	Охраняемая законом информация	ЭВМ и ее элементы	Уничтожение информации
	Создание вредоносных программ	Информация	Система ЭВМ	Блокирование информации
	Использование вредоносных программ	Программы, ЭВМ	ЭВМ, Компьютерные Сети	Модификация информации
	Распространение вредоносных программ	Охраняемая законом информация	Машинный носитель	Копирование информации
Внесение изменений в существующие программы	Программы ЭВМ	Машинный носитель	Нарушение работы ЭВМ
	Нарушение правил эксплуатации ЭВМ	Программы, информация ЭВМ	ЭВМ, компьютерные сети	Уничтожение информации, нарушение работы ЭВМ

3. Компьютерное преступление - предусмотренные уголовным законом общественно опасные действия, совершенные с использованием средств ЭВТ.

Компьютерные преступления имеют ряд особенностей.

Первая особенность - неоднородность объекта преступления, который представляется:

для неправомерного доступа к компьютерной информации - правами на информацию ее владельца и третьих лиц;

для преступлений, связанных с созданием, использование и распространением вредоносных программ для ЭВМ и нарушением эксплуатации ЭВМ, систем и сети ЭВМ – это право на безопасность использования интеллектуальных и вещественных средств вычислительной техники.

Второй особенностью компьютерных преступлений является то, что компьютерная информация, в том числе машинная, расположенная на различных носителях, информация в ЭВМ, системе или сети ЭВМ выступает в качестве объекта и в качестве средства преступления.

Третьей особенностью компьютерных преступлений является многообразие предметов и средств преступного посягательства, определяемое широким использованием ЭВМ в различных сферах деятельности личности, общества и государства.

Четвертая особенность представляется разнообразием предметов и средств преступного посягательства, которое определяется разнообразием средств и составных компонентов компьютерной техники, их функционального назначения, которые можно разделить на две группы:

1. аппаратные средства, включающие технические средства обработки информации и данных (персональные компьютеры, серверы, периферийное оборудование, физические носители машинной информации);

2. программные средства, представляющие объективные формы, выраженные совокупностью данных и команд, предназначенных для функционирования ЭВМ и их устройств, с целью получения определенного результата. Такие средства могут быть представлены подготовленными и зафиксированными на физическом носителе материалами, полученными в ходе их разработок и порождаемые, аудиовизуальные отображения (системные программы, прикладные программы, инструментальные программы, машинная информация владельца, пользователя, собственника информации).

Пятой особенностью компьютерных преступлений является то, что ЭВМ выступает либо в качестве предмета, либо в качестве объекта совершения преступления.

С учетом содержания приведенного здесь третьего определения компьютерного преступления, можно выделить основной универсальный классификационный признак принадлежности преступления к виду компьютерных - это использование средств ЭВТ, независимо от стадии преступления, на которой использовались эти средства: при подготовке, в ходе совершения или сокрытия. В силу этого и с позиций криминалистической науки к компьютерным преступлениям будут относиться и те, которые имеют иную классификацию в уголовно–правовом законодательстве. Примерами таких преступлений могут быть: 1) шпионаж с использованием компьютерной техники (государственное преступление) - компьютерный шпионаж; 2) подлог - компьютерный подлог; 3) хищение - компьютерное хищение; злоупотребление - компьютерное злоупотребление и другие.

11.3. Уголовно-правовая и криминалистическая характеристики компьютерных правонарушений

Криминалистическая характеристика - совокупность сведений о типичных и характерных чертах определенного вида преступления, которые имеют важное организационное и тактическое значение для раскрытия преступления.

Основными элементами криминалистической характеристики компьютерных правонарушений являются сведения о предмете посягательства, событии преступления (способе, месте, времени совершения преступления), механизме совершения преступления, личности преступника (или группе лиц), материальных следах преступления, о потерпевшем, типичных причинах и условиях, способствовавших совершению преступления.

Получение данных о свойствах личности правонарушителя, мотивации и целеполагания его преступного поведения является одной из сложных задач, затрагивающих ряд научных направлений не только в отраслях права, но и в психологии, эргономики, теории управления социально–экономическими системами и системами организационно–технического типа и другие науки.

В Уголовном кодексе Российской Федерации "компьютерные преступники" представляются следующими категориями лиц:

осуществляющих неправомерный доступ к компьютерной информации;

осуществляющих неправомерный доступ к компьютерной информации в группе по предварительному сговору или организованной группой;

осуществляющих неправомерный доступ к компьютерной информации с использованием своего служебного положения;

имеющих доступ к ЭВМ (системе или сети ЭВМ), но осуществляющих неправомерный доступ к компьютерной информации или нарушающих правила эксплуатации ЭВМ;

создающих, использующих и распространяющих вредоносные программы.

В отечественной и зарубежной практике сществует известная неформальная классификация компьютерных преступников:

1. нарушители правил пользования ЭВМ – лица, совершающие преступления, из-за недостаточно хорошего знания техники, желания ознакомится с интересующей их информацией, похитить какую-либо программу или бесплатно пользоваться услугами ЭВМ;

2. "белые воротнички" (респектабельные преступники: бухгалтеры, казначеи, управляющие финансами различных фирм, адвокаты, вице-президенты компаний и др.) – лица совершающие действия с ЭВМ в целях моделирования планируемых преступлений, компьютерного шантажа конкурентов, мистификации и фальсификации информации и т.д. Целью этих преступных действий является получение материальной выгоды или сокрытие других преступных действий;

3. "компьютерные шпионы" – это, хорошо подготовленные в организационно-техническом отношении специалисты, осуществляющие свои действия с целью получения стратегически важных данных о противнике;

4. "хакеры" ("одержимые программисты") – лица, наиболее технически и профессионально подготовленные, отлично разбирающиеся в ЭВТ и программировании, осуществляющие свои действия с целью несанкционированного проникновения в ЭВМ, системы и сети ЭВМ, кражи, модификации или уничтожения имеющейся в них информации. Зачастую совершение этих преступлений не преследует цели получения прямой материальной выгоды и могут быть мотивированы необходимостью самоутверждения, отмщения за обиду, желанием "пошутить" и др.

Рассмотренные характеристика не вариантом, который может дополняться, видоизменяться или отличаться по содержанию от других.

Характеристика, отражающая местонахождение и предметы посягательств компьютерной информации определяется конкретным электронным устройством и соответствующим классом ЭВМ.

Супер-ЭВМ – уникальные по цели создания, быстродействию, объему памяти ЭВМ и вычислительные системы, предназначенные для решения особо сложных задач. В настоящее время существуют варианты суперкомпьютеров (например МВС-1000М), обладающие быстродействием терафлопного диапазона (1 триллион операций в секунду).

Большая ЭВМ – стационарные вычислительные комплексы с большим количеством разнообразных периферийных устройств, которыми оснащались вычислительные центры.

Мини–ЭВМ, микро–ЭВМ, персональная ЭВМ (ПЭВМ) – ЭВМ, отличающиеся (до определенного периода, примерно до 1993 года) размером, быстродействием, разрядностью, объемом памяти и др.

По размеру ЭВМ классифицируются на:

стационарные большие ЭВМ, установленные в конкретном помещении;

"настольные" малогабаритные ЭВМ – устанавливаемые на столе, могут легко перемещаться из помещения в помещение в зависимости от потребностей пользователя;

портативные ЭВМ ("лаптоны", "ноутбуки" и др.) – переносные малогабаритные ЭВМ, размещаемые в портфелях, блокнотах, с компактными источниками электропитания и возможностью обеспечения работы в любом месте;

малогабаритные ЭВМ, включенные в механические или технологические системы управления.

По местонахождению и основной решаемой в сетях задаче существуют:

машины конечного пользователя – машина "администратора сети" или "системного оператора", наделенного правами собственника информационной системы, организационно–распорядительными полномочиями в области распределения информации;

машины, работающие как "хранилище базы данных";

машины, управляющие в автоматическом режиме технологическими процессами;

машины, работающие как почтовый "сервер" – программно–техническое устройство, решающее коммуникационные задачи, осуществляющее одновременную основную обработку информации нескольких пользователей и хранение данных всех пользователей сети.

Существуют машины с периферийными устройствами, средствами связи, включенные в сеть ЭВМ и др.

Для рассмотрения криминалистических характеристик можно рассмотреть наиболее полное содержание понятия ЭВМ.

ЭВМ – комплекс электронных устройств, позволяющих производить предписанные программой и/или пользователем операции (последовательности действий по обработке информации и управлению устройствами) над символьной и образованной информацией, в том числе осуществлять ее ввод–вывод, уничтожение, копирование, модификацию, передачу информации в сети ЭВМ и другие информационные процессы.

Такое определение позволяет отличать ЭВМ от других технических устройств, например калькулятора (по признаку "проведение операций"), АТС (по признаку "возможность уничтожения информации") и др.

При рассмотрении криминалистических характеристик компьютерной информации, необходимо учитывать также то, что она может находится, обрабатываться, передаваться и храниться не только в отдельных ЭВМ, но и в их системах и сетях, на машинных носителях, в устройствах внешней памяти, оперативном запоминающем устройстве (ОЗУ) ЭВМ, ОЗУ периферийных устройств, ОЗУ компьютерных устройств связи и сетевых устройств.

11.4. Способы и механизмы совершения компьютерных преступлений

Способ совершения преступления – это объективно и субъективно обусловленная система поведения субъекта до, в момент и после совершения преступления, оставляющая различного рода характерные следы вовне, позволяющие с помощью криминалистических приемов и средств получить представление о сути происшедшего, своеобразии преступного поведения правонарушителя, его отдельных личностных данных и соответственно определить наиболее оптимальные методы решения задач раскрытия преступления.

Механизм совершения преступления – система данных, описывающих временной и динамический порядок связи отдельных этапов, обстоятельств, факторов подготовки, совершения и сокрытия следов преступления, позволяющих воссоздать картину процесса ее совершения.

Каждому способу совершения преступления характерен свой механизм. Обобщенные данные о механизме совершения преступления содержат сведения о наиболее характерных следах преступления. Структура способов совершения преступления, в зависимости от своеобразия поведения преступника, ситуаций, возникающих до и после совершения преступления, а также иных обстоятельств, может быть трех видов:

1) трехзвенной (включающей поведение субъекта до, во время и после совершения преступления);

2) двухзвенной (в различных комбинациях);

3) однозвенной (характеризовать поведение субъекта лишь во время самого преступного акта).

В настоящее время как в России, так и в зарубежных странах не существует однозначно определенных характеристик способов совершения компьютерных преступлений, их конкретных названий и классификации в силу ряда причин.

К первой причине можно отнести неравномерности уровня компьютеризации общества (в США компьютерное преступление было зарегистрировано в 1966 г., а в России – в 1979 г.

Второй причиной является наличие разнообразных и многообразных точек зрения специалистов и ученых по вопросам выделения, классификации и названия способов совершения компьютерных преступлений. Так в 1983 г. выделено 17 основных способов совершения компьютерных правонарушений: компьютерные мошенничество, злоупотреблений и другие.

Компьютерное мошенничество - любое незаконное умышленное действие (или ряд действий) с целью искажения данных для получения выгоды, если оно совершалось посредством манипулирования процессами ввода и передачи данных, коммуникациями, операционной системой и оборудованием.

Компьютерное злоупотребление - правонарушение, включающее в себя неправомерное использование, уничтожение, изменение обрабатываемых информационных ресурсов.

Большинство хищений компьютерной информации совершается путем манипулирования входными и выходными данными, создания несанкционированных файлов, использования нескольких способов одновременно. При злоупотреблениях наиболее часто используются способы: 1) введение несанкционированных данных; 2) создание несанкционированных файлов; 3) программирование для личных целей. Наиболее распространенной формой хищения компьютерной информации является кража машинного времени.

Развитие и совершенствование способов совершения компьютерных преступлений обусловлено:

• совершенствованием, и широким использованием компьютеров практически во всех сферах деятельности;

• усложнением микропроцессорной техники, самих компьютеров;

• разнообразием и постоянным наращиванием выполняемых ЭВМ информационных операций, многие из которых отражают движение материальных ценностей, финансовых и денежных средств, научно-технических разработок и т.д., предопределяющих объект, предмет и орудие преступления.

Специфичность средств ЭВТ, участвующих в информационных процессах, выражена в их двойственности: они выступают и как предмет, и как средства совершения преступного посягательства. На практике все способы совершения компьютерных преступлений имеют свои индивидуальные, присущие только им признаки, по которым их можно распознать и классифицировать в отдельные общие группы. Одним из оснований классификации являются действия преступника, направленные на получение доступа к средствам компьютерной техники. Эти действия сопровождаются весьма квалифицированными способами маскировки, затрудняющими процесс выявления, раскрытия и расследования преступлений. По методу использования преступником различных действий, направленных на получение доступа к средствам ЭВТ с различными намерениями, можно выделить способы совершения компьютерных преступлений, представляемые пятью основными группами: 1) изъятие средств вычислительной техники (СВТ); 2) перехват информации; 3) несанкционированный доступ к СВТ; 4) манипуляция данными и управляющими командами; 5) комплексные методы.

К группе «изъятие компьютерных средств» - относятся традиционные способы совершения обычных видов некомпьютерных имущественных преступлений. В них действия преступника направлены на изъятие чужого имущества в виде средств ЭВТ. Преступные деяния квалифицируются по статьями уголовного законодательства (шпионаж, хищение, разбой, вымогательство, присвоение найденного или случайно оказавшегося у виновного чужого имущества, мошенничество и т. п.). Особенности способов совершения компьютерных преступлений:

средства ЭВТ всегда выступают только в качестве предмета преступного посягательства;

в качестве орудия совершения преступления будут использоваться иные инструменты, технические устройства и приспособления (или без их использования), не являющиеся средствами ЭВТ.

Основными способами совершения компьютерных преступлений являются противоправные деяния, направленные на изъятие: физических носителей ценной информации; магнитных лент и дисков; оптических и магнитооптических дисков; электронных кредитных карточек; электронных акций, услуг и т. п.

Группа компьютерных преступлений «перехват информации».

Перехват информации – способ совершения компьютерных преступлений, основанный на действиях преступника, направленных на получение данных и машинной информации посредством использования методов перехвата различных физических полей (аудиовизуального, электромагнитного).

Особенность преступлений - средства ЭВТ выступают как в качестве предмета, так и в качестве орудия совершения преступного посягательства.

Существует несколько видов перехвата информации.

Непосредственный перехват информационных сигналов – перехват, осуществляемый с помощью непосредственного подключения к телекоммуникационному оборудованию компьютера, компьютерной системы или сети либо непосредственно через соответствующий порт персонального компьютера.

Подвиды перехвата:

форсированный перехват (wilful intercept) - перехват сообщений, направляемых рабочим станциям (ЭВМ), имеющим неполадки в оборудовании или каналах связи;

перехват символов (character seize) – выделение из текста, набираемого пользователем на клавиатуре терминала, знаков, не предусмотренных стандартным кодом данной ЭВМ;

перехват сообщений (message wiretapping) – несанкционированное подключение специального терминала к линии связи, прием и использование сообщений, циркулирующих между абонентскими пунктами и ЭВМ.

К средствам перехвата относятся: бытовые радиосредства средств и оборудование; средства телефонной связи, элементы телефонного кабеля, и локальных вычислительных сетей; кассетные портативные магнитофоны, принтеры, модемы, либо персонального компьютера типа "Laptop" в блокнотном и субблокнотном исполнении; автоматизированные анализаторы проводных линий связи; многофункциональные цифровые регистраторы сигналов типа MSR (Multi Signal Regustrator) и др.

Перехват электромагнитных сигналов. Объективной особенностью функционирования современных средств обработки информации, в том числе ЭВТ, является излучение электромагнитных полей (ЭМП), которые могут быть перехвачены без физического подключения к средствам обработки и записаны на физический носитель. Дальность распространения колеблется от нескольких метров до нескольких сот метров и зависит от вида технического средства ("излучателя"), среды распространения ЭПМ, наличия средств защиты от этих излучений, параметров технического средства приема электромагнитных излучений.

Аудио перехват (виброакустический канал) информации как способ совершения преступления является наиболее опасным, имеет широкое распространение и может быть представлен двумя видами.

Заходовый аудио перехват - установка инфинитивных средств перехвата информации (закладных подслушивающих устройств типа "таблетки", "клопа", "жучка" и др.) в аппаратуру средств обработки информации, различные технические устройства, на проводные коммуникационные линии (радио, телефон, телевизионный кабель, охранно-пожарной сигнализации, электросеть и т.п.), а также в различные конструкции инженерно-технических сооружений, бытовых предметов и аудио–видео техники, находящихся на объекте, с целью перехвата разговоров работающего персонала и звуковых сигналов технических устройств.

Способы установки закладных устройств: скрытное или легендированное проникновение в помещение; установка радиопередающей и звукозаписывающей аппаратура во время постройки или ремонта помещения; приобретение или занесение самой потерпевшей стороной вместе с приобретенной аппаратурой или предметами.

Средства перехвата: спецмикрофоны с различным диапазоном (заносные и закладные, с прикрытием и без прикрытия сигнала, с возможным дистанционным управлением); диктофоны с длительной записью различных модификаций; цифровые адаптивные фильтры различных типов, позволяющие проводить обработку зашумленных речевых сигналов в реальном масштабе времени с эффективным подавлением помех.

Сложность обнаружения средств перехвата обусловлена хорошим камуфляжем под различные радиоэлектронные элементы, средства бытовой техники и интерьера, установкой как внутри контролируемой зоны помещения, так и за ее пределами, а в ряде случаев, на значительном расстоянии.

Беззаходовый аудиоперехват – установка акустических и вибрационных датчиков съема информации на инженерно–технические конструкции, находящиеся за пределами охраняемого помещения или контролируемой зоны средства обработки информации.

Беззаходовые средствам аудиоперехвата: направленные спецмикрофоны и лазерные устройства, предназначенные для дистанционного снятия речевой информации через открытые сквозные проемы (двери, окна, форточки, мусоро- и воздухопроводы и т. п.), оконные (автомобильные) стекла.

Типовые конструкции инженерно–технических сооружений, с которых можно снять речевые сигналы: несущие стены зданий, перегородки, перекрытия, окна, оконные рамы, двери и дверные коробки, вентиляционные воздуховоды, короба коммуникационных систем, трубопроводы и др.

Видео перехват - способ совершения преступления, заключающийся в действиях преступника, направленных на получение информации путем использования различной средств видеооптической техники и делится на физический и электронный.

Физический способ видео перехвата - перехват информации с помощью применения преступником различной бытовой видеооптической аппаратуры (подзорной трубы, бинокля, охотничьего прибора ночного видения, оптического прицела, видео-, фотоаппаратуры с соответствующими оптическими насадками (объективами) и т, п.) путем наблюдения за объектом–жертвой с некоторого расстояния с целью получения необходимой информации, которая в отдельных случаях фиксируется на физический носитель. При этом орудие преступления находится непосредственно в руках преступника.

Электронный способ видео перехвата - процесс получения информации преступником, осуществляемый с использованием специальной техники, предполагающей наличие различных каналов связи как постоянных, так и временно устанавливаемых. При этом передающее устройство находится непосредственно на объекте наблюдения, а приемное – в руках преступника.

Средства электронного видео перехвата: специальные видеомагнитофоны, в том числе с длительной записью; средства скрытой видеосъемки, включая цифровые электронные видеокамеры с полной адаптацией с компьютерными системами и различными линиями связи; телекоммуникационное оборудование с радиопередающей аппаратурой; приборы ночного видения.

"Уборка мусора" - способ совершения преступления, заключающийся в неправомочном использовании преступником технологических отходов информационного процесса, оставленных пользователем на рабочем месте после работы с ЭВТ. Этот способ делится на физический и электронный.

Физический способ поиска отходов - внимательный осмотр содержимого мусорных корзин, баков, емкостей для технологических отходов и сбору оставленных или выброшенных физических носителей информации.

Электронный способ - просмотр и последующее исследование данных, находящихся в памяти внешних запоминающих устройствах ЭВТ, основанный на некоторых технологических особенностях функционирования ЭВТ: фиксации и нахождении в оперативной памяти ЭВТ последних записанных данных после завершения работы; законной доступности правонарушителя к своей части информации, позволяющей незаконно обращаться к нужной, не принадлежащей ему информации. Орудием такого способа преступления являются различные программные средства специального назначения, относящихся к инструментальным программным средствам.

Несанкционированный доступ к ЭВТ – действиями преступника, направленными на получение доступа к средствам компьютерной техники, нарушающего правила разграничения доступа с использованием штатных средств, представляемых средствами ЭВТ или автоматизированными системами.

Существуют различные способы действий, направленные на получение НСД к ЭВТ.

Способ физического проникновения (действия) "за дураком" - проникновение в запретные зоны, производственные помещения, электронные системы путем использования преступником предметов, связанных с работой ЭВТ и несанкционированного проникновения вместе с санкционированным пользователем под предлогом оказания помощи для работы на ЭВМ. Способ рассчитан на низкую бдительность сотрудников организации и лиц, ее охраняющих, использование преступниками приемов легендирования, а также может применяется и при электронном варианте несанкционированного доступа.

Способ совершения преступления "за хвост" заключается: 1) в подключении с помощью ЭВТ к линии связи законного пользователя; 2) ожидании сигнала конца работы пользователя; 3) последующего перехвата его сигнала "на себя" после окончания законным пользователем активного режима работы и осуществления доступ к системе.

Способ "компьютерного абордажа" – действия правонарушителя путем случайного подбора или заранее добытого абонентного номера компьютерной системы потерпевшей стороны. Реализация способа заключается в следующем:

1. после соединения с вызываемым абонентом и появления в техническом средстве правонарушителя специфического позывного сигнала, свидетельствующего о наличие модемного входа/выхода на вызываемом абонентном номере, правонарушителем осуществляется механическое подключение собственного модема и персонального компьютера, которые используются в качестве орудия совершения правонарушения к каналу телефонной связи;

2. далее правонарушитель производит подбор кода доступа (пароля) к компьютерной системе жертвы (если таковой вообще имеется) или использует заранее добытый код. Совершение этого действия правонарушителем осуществляется с использованием специальной программы автоматического поиска пароля (программы – взломщика - hactools (инструмент взлома), похищенного носителя машинной информации с уже имеющимся паролем доступа и др.

Защита от программ–взломщиков используется специальная программа защиты компьютерных портов, ведущая автоматический протокол обращений к компьютерной системе и отключающая абонентов в случае многократного некорректного доступа (набор ложного пароля). В свою очередь, такая защита побуждает правонарушителя активно использовать метод "интеллектуального перебора" - подбора предполагаемого пароля, исходя из заранее определенных тематических групп его принадлежности, определяемых исходными данными о личности автора пароля. Интеллектуальный перебор позволяет более чем на десять порядков сократить количество возможных вариантов перебора символов и на столько же – время на подбор пароля, таблица 11.2.

Таблица 11.2.

Характеристики исходных данных автора пароля

Характеристика тематических групп	Вероятность выбора пароля	Вероятность вскрытия пароля
1. Имена, фамилии и их производные	0,222	0, 545
2. Интересы (хобби, спорт, музыка, др.)	0,0 95	0, 292
3. Даты рождения, знаки зодиака свои, близких и их комбинации с первой группой	0,118	0,545
4. Адрес жительства, место рождения	0,047	0,550
5. Номера телефонов	0,035	0,666
6. Последовательность клавиш ПК, повтор символа	0,141	0,723
7. Номера документов (паспорт, пропуск, удостоверение и т.д.)	0,035	1,000
8. Другие	0,307	0,057

В какой-то степени "компьютерный абордаж" является подготовительной стадией компьютерного преступления.

Способ неспешного выбора – осуществление НСД к компьютерной системе путем нахождения слабых мест в ее защите, последующего исследования содержащейся в системе информации, копирования ее на свой физический носитель, многократного возвращаясь к ней, выбор наиболее оптимального предмета посягательства. Способ рассчитан на недостаточное внимание защите ЭВТ.

Способ определения "брешей" - отличается от предыдущего тем, что правонарушитель осуществляет конкретизацию слабых мест ЭВТ, определяет участки, имеющие ошибку (ошибки) или неудачную логику программного строения и использует выявленные "бреши" пока они не будут обнаружены. Возникновение этого способа обусловлено ошибками программиста при разработке программных средств в электронных цепях или в эксплуатации ЭВМ и др.

Способ "люка" – представляет логическое продолжение способа "брешей" и заключается в том, что в найденной "бреши" программа "разрывается" и туда дополнительно вводится одна или несколько команд. Созданный "люк" "открывается" по мере необходимости, а включенные команды автоматически выполняются. Этот способ используется проектантами программных средств и работниками организаций, занимающихся профилактикой и ремонтом компьютерных систем с целью автоматизации рутинной работы, а также лицами, самостоятельно обнаружившими "бреши". Совершение такого преступления осуществляется путем преднамеренной модификации (изменения) определенных средств ЭВТ.

Способ "маскарада" – проникновение в компьютерную систему, путем представления нарушителем себя в качестве законного пользователя. Может быть совершен при отсутствии в системе защиты средств ЭВТ функции аутентификации пользователя по различным его параметрам (биометрическим: отпечаткам пальцев, рисунку сетчатки глаза, голосу и т.п.). Получение правонарушителем кодов, другие идентифицирующих шифров законных пользователей осуществляется за счет приобретения списка пользователей со всей необходимой информацией путем: 1) подкупа, коррумпирования, вымогательства или иных противоправных деяний в отношении лиц, допущенных к указанному документу; 2) обнаружения такого документа в организациях со слабым контролем за хранением кодов и идентифицирующих шифров; 3) перехвата информации из каналов телекоммуникаций и т. д.

Способ мистификация заключающийся в том, что по аналогии с ошибочными телефонными звонками пользователь терминала или персонального компьютера подключается к чьей-либо системе, будучи уверенным, в том, что он работает с нужным ему абонентом, а правонарушитель, пользуясь этим фактом, формирует правдоподобные ответы на запросы владельца информационной системы, к которой произошло фактическое подключение, и поддерживая это заблуждение в течение определенного периода времени, получая при этом требуемую информацию (коды доступа, отклик на пароль и др.).

"Аварийный" способ предполагает использование правонарушителем факта наличия в любом компьютерном центре особой программы, применяемой как системный инструмент в случае возникновения сбоев или других отклонений в работе ЭВМ. Такая программа, как универсальный ключ, позволяет правонарушителю достаточно быстро обойти все имеющиеся средства защиты информации компьютерной системы с целью получения аварийного доступа к наиболее ценным данным.

Способ "склад без стен" предполагает НСД правонарушителя к компьютерной системе путем использования системной поломки, частично или полностью нарушающей нормальный режим функционирования систем защиты данных.

К способы манипуляции данными и управляющими командами относятся действия правонарушителя, связанные с использованием методов манипуляции данными и управляющими командами средств ЭВТ, в том числе:

методов манипуляции ценными данными при совершении хищения денежных средств;

одинаковых методик при ручной и автоматизированной системы обработки (получения и отправки) денежных переводов клиентов;

методов манипуляции входными и выходными данными для хищения денежных средств в крупных и особо крупных размерах в учреждениях, организациях, на промышленных и торговых предприятиях, использующих автоматизированные компьютерные системы для обработки первичных бухгалтерских документов, отражающих кассовые операции, движение материальных ценностей и другие разделы учета.

Наиболее часто используются способы совершения компьютерных преступлений, относящиеся к группе методов манипуляции данными и управляющими командами средств компьютерной техники.

Способ подмены данных – наиболее простой и часто применяемый способ при котором действия правонарушителя направлены на изменение или введение новых данных и осуществляются, как правило, при вводе–выводе информации. Способ применяется при хищении материальных ценностей, чужого имущества, оформлении фиктивных операций купли–продажи, путем изменения данных в компьютерной системе управления транспортным движением (грузовое, железнодорожное, нефте–газотрубопроводы и др.).

Способ подмены кода – частный случай способа подмены данных, заключающийся в изменении кода данных бухгалтерского учета.

Способ "троянского коня" - заключается в тайном введении в чужое программное обеспечение специально созданных программ, замаскированных под известные с целью выполнения новых функций, не планировавшихся законным владельцем с одновременным сохранением прежней работоспособности ЭВМ. Содержание этого способа составляет программа для ЭВМ (согласно статьи 273 Уголовного кодекса Российской Федерации), приводящую к несанкционированному уничтожению, блокированию, модификации либо копированию информации, нарушению работы ЭВМ, системы ЭВМ или их сети.

"Троянский конь" – это модернизация уже рассмотренного нами способа "люка", отличающегося тем, что он "открывается" не при помощи непосредственных действий самого преступника, а автоматически, с использованием специально подготовленной для этих целей программы без дальнейшего непосредственного участия самого преступника.

"Троянский конь" в электронных цепях, в отличие от программных, предполагает создание определенных логических связей в электронных цепях аппаратных средств ЭВТ для автоматического выполнения незаконных манипуляций по аналогии с программным способом. Особенность способа – неправомочные действия могут осуществляться путем внесения конструкционных изменений в топологию интегральных микросхем при их заводском изготовлении.

Способ "троянской матрешки" представляет разновидность способа "троянского коня" и заключается в том, что во фрагмент программы потерпевшей стороны вставляются не команды, выполняющие незаконные операции, а команды, формирующие эти команды и после выполнения своей функции (автоматического программного создания "троянского коня"), самоуничтожаются. Это программные модули-фрагменты, создающие "троянского коня" и самоликвидируются на программном уровне по окончании исполнения своей задачи.

Способ "троянского червя" представляет разновидность "троянского коня", и характеризуется тем, что в алгоритм работы программы–орудия совершения преступления, наряду с ее основными функциями, рассмотренными ранее, закладывается алгоритм действий, осуществляющих саморазмножение, программное автоматическое воспроизводство "троянского коня".

Способ "салями" основан на использовании компьютерной технологии в бухгалтерских операциях и на методике проведения операций перебрасывания на подставной счет мелких денежных средств – результата округления. Преступный расчет построен на совершении ЭВМ миллионов операций в секунду, а высококвалифицированным бухгалтером за рабочий день – до двух тысяч таких операций. При этом отчисляемые суммы с бухгалтерской операции столь малы, что их потери практически незаметны, а незаконное накопление большой суммы осуществляется за счет совершения большого количества операций. Это один из простейших и безопасных способов совершения правонарушения используется, как правило, при хищении денежных средств в бухгалтерских операциях, в которых отчисляются дробные суммы денег с каждой операции, предполагающие округление сумм до установленных целых значений.

Способ "логической бомбы" представляет способ хищения денежных средств, осуществляемый при стечении каких-либо обстоятельств и основанный на тайном внесении изменений в программу потерпевшей стороны набора команд, которые должны сработать (или срабатывать каждый раз) при наступлении определенных обстоятельств через какое–либо время. После этого включается алгоритм программы "троянского коня".

Способ "временной бомбы" представляет разновидность "логической бомбы", которая срабатывает по достижении определенного момента времени. Применяется для хищения денежных средств и заключается в том, что правонарушителем, посредством заранее введенной в банк данных автоматизированной системы межбанковских электронных операций программы "временной бомбы", похищаются деньги в определенный заданный момент времени при стечении благоприятных обстоятельств. Все манипуляции с данными и начало осуществления бухгалтерских операций с ними производятся и контролируются программой. Правонарушитель в определенный момент времени снимает деньги, поступившие на заранее открытый счет. Так же осуществляется неправомерное разрушение определенных данных и информации в компьютерной системе.

Способ компьютерных вирусов предполагает использование специальных программ, способных самопроизвольно присоединяться к другим программам ("заражать" их) и при запуске последних выполнять различные нежелательные действия:

порчу файлов и каталогов (при файловой организации программной среды);

искажение и стирание (уничтожение) данных и информации;

переполнение машинной памяти и создание помех в работе ЭВМ и др.

Программы компьютерных вирусов составляются правонарушителем на языке программирования "ассемблер" и не выдают при своей работе никаких аудиовизуальных отображений в компьютерной системе. Они переносятся при копировании информации и ценных данных с одного материального носителя на другой, либо по компьютерной сети с использованием средств телекоммуникации. Способ совершения компьютерных преступлений является логической модернизацией способа "троянский конь".

Важной особенностью компьютерных вирусов является их регулярное увеличение и развитие. Для правильного определения их содержания и понимания способов совершения преступлений осуществляется классификация всех вирусов. К наиболее распространенным относятся следующие группы вирусов:

загрузочные (системные), поражающие загрузочные секторы машинной памяти;

файловые, поражающие исполняемые файлы, в том числе СОМ, ЕХЕ, SYS, ВАТ и другие файлы;

комбинированные вирусы.

Загрузочные вирусы заражают компьютер при его загрузке с носителя машинной информации, содержащего вирус. Заражение может происходить как случайно, когда потерпевший, не подозревая о наличии вируса на носителе, запустил с него компьютерную систему, так и преднамеренно, когда правонарушитель знает о его существовании и последствиях. Заражение может произойти не от носителя системной информации, а от прочтения оглавления носителя.

Файловые вирусы заражают компьютер при запуске ЭВМ программой, содержащей вирус. При этом возможно заражение других исполняемых файлов.

Показатели классификации и виды программ-вирусов:

1. по способу заражения средств компьютерной техники – запускаемые на выполнение программные средства: резидентные и нерезидентные;

2. по алгоритму строения и обнаружения - "вульгарный вирус", "раздробленный вирус".

Резидентная программа (TSR - Terminate and Stay Resident) - программа, которая по окончании работы оставляет свой код или часть кода в оперативной памяти: программно адресуемая память, быстродействие которой соизмеримо с быстродействием центрального процессора, и предназначенная для хранения исполняемых в данный момент программ и оперативно необходимых для этого данных. Одновременно с этим операционная система резервирует необходимый для работы этой программы участок памяти. После этого резидентная программа работает параллельно другим программам. Доступ к резидентной программе осуществляется либо через подмену прерываний, либо непосредственной адресацией.

Нерезидентная программа (NTSR - Not Terminate and Stay Resident) – программа, которая при завершении работы не оставляет своего кода или его части в оперативной памяти. Вирус представляя собой программное средство, обладает этими свойствами.

Резидентный вирус при "инфицировании" программных средств оставляет в оперативной памяти компьютерной системы потерпевшей стороны свою резидентную часть, которая затем перехватывает обращение операционной системы к объектам заражения и внедряется в них. Такой вирус находится в памяти и является активным вплоть до выключения или перезагрузки компьютерной системы.

Нерезидентный вирус не заражает оперативную память и является активным ограниченное время, а затем "погибает", в то время как резидентный активируется после каждого включения компьютерной системы. Нерезидентные вирусы могут также оставлять в оперативной памяти небольшие резидентные программы, которые не имеют алгоритма распространения вируса.

Способы "асинхронной атаки" обусловлены сложностью программных продуктов и асинхронной природой функционирования операционной системы, что практически затрудняет их проверку на предмет достоверности работы и логической завершенности. Это позволяет правонарушителю инициировать работу операционной системы при ложных условиях, прерывать работу ЭВТ, направить ее функционирование на выполнение своих корыстных целей без явных заметных изменений работы ЭВТ (изменения вне операционной системы не заметны), что полностью или частично нарушает или повторяет управление обработкой информации. При этом можно привести ряд известных прерываний в работе ЭВТ:

1. аппаратное (hardware interrupt) – прерывание по ошибке при выполнении команды или в прерывании от внешнего устройства;

2. асинхронное (asynchronous system trap) – прерывание, возникновение которого не привязано к определенной точке программы: внешнее прерывание и прерывание, связанное с работой другого процесса;

3. программное (software interrupt) – прерывание, вызванное управляющей машинной командой: причинами прерывания могут быть ошибки в программе (например, деление на нуль, переполнение, нарушение защиты);

4. внешнее (external interrupt) – прерывание, инициируемое внешним устройством, не входящим в состав центрального процессора; прерывание от внешнего устройства.

С учетом рассмотренного содержания асинхронных способов компьютерных правонарушений необходимо более полно представлять содержание операционной (мониторная) системы (operating system (OS)), представляющей комплекс программных средств, обеспечивающих управление информационными процессами при функционировании компьютерной системы. Основной задачей операционной системы является обеспечение максимальной производительности компьютерной системы путем реализации различных кибернетических функций, планирования, управления, коммуникации и т.д.

Способ компьютерного моделирования при совершении компьютерных правонарушений предполагает моделирование поведения устройства, системы процесса с помощью программного обеспечения в которые предполагается противоправное вмешательство другими способами. Характерен для преступлений в области налогообложения, кредитования и др.

В рамках этого способа совершения правонарушений применяются следующие модели.

Реверсивная модель – разновидность способа моделирования, заключающаяся в создании модели конкретной системы, на которую планируется совершить нападения. В эту модель вводятся реальные исходные данные и учитываются планируемые действия. На основе полученных данных подбираются максимально приближенные к действительности желаемые результаты. Далее модель совершения правонарушения действий многократно "прогоняется" назад, к исходной точке, в результате правонарушитель знает какие манипуляции с входными–выходными данными необходимо совершить, чтобы достичь желаемого корыстного результата, выявить возникающие ошибки и просчеты в механизме планируемых противоправных действий. Таким способом оптимизируются действия при проведении криминальных "операций" и минимизируется возможный риска и их "провала".

Модель "воздушного змея" – способ, используемый преступником для начисления и получения незаконных избыточных денежных сумм на счетах при автоматическом пересчете рублевых остатков за счет предварительного увеличения остаточных сумм, что достигается посредством временного переноса средств со счетов с другим кодом и их последующего возвращения на исходные счета. Управление этим процессом осуществляется только с помощью компьютерной системы, используя элементы моделирования преступной ситуации.

Модель "ловушка на живца" ("подсадной утки") – способ моделирования, состоящий в создании преступником специальной программы, записываемой на физический носитель и под любым предлогом вручаемой или подкидываемой потерпевшей стороне с расчетом на ее использование. Программа в определенный момент времени автоматически моделирует системную поломку компьютерной системы, на которой был запущен данный программный продукт с целью проверки его качества и работоспособности. Программа записывает данные и информацию, интересующие правонарушителя и после этого она изымается у потерпевшей стороны с использованием различных способов.

Модель копирования (тиражирования) – способ совершения преступления, при котором действия преступника, направлены на незаконное копирование (тиражирование) программных средств компьютерной техники, а также топологий интегральных микросхем. Опасность компьютерных преступлений, совершаемых с использованием способа копирования, обусловлена:

- высокой плотностью данных и информации, записанных на материальном носителе либо находящихся в оперативной памяти ЭВМ;

- быстротой и простотой процесса совершения преступных действий;

- достаточно широкими возможностями дублирования любых массивов данных без оставления следов на месте происшествия.

Способы копирования: а) законный (санкционированный) доступ к средствам ЭВТ; б) НСД с использованием способов, рассмотренных выше.

Модель преодоления программных средств защиты предназначенная для подготовки и совершения компьютерного преступления способами, рассмотренными выше и заключается в действиях правонарушителя, направленных на умышленное преодоление программных средств защиты ЭВТ. Разновидности способа:

1. незаконное создание копии ключевой дискеты, как способ преодоления средств защиты ЭВТ путем электромагнитного переноса всей структуры и информации, расположенной на ключевой дискете–оригинале, защищенной от копирования программными средствами, на дискету-копию, в результате чего аутентификационная часть системы защиты воспринимает копию ключевой дискеты как оригинал.

2. модификация кода системы защиты, заключающаяся в модификации (изменении) кода модуля системы защиты, выполняющего функции проверки ключевой дискеты, корректировки счетчика установок на жесткий магнитный диск (винчестер), защищенного от копирования программного средства с ключевой дискеты, проверки санкционированности запуска защищенного информационного ресурса;

3. моделирование обращений к ключевой дискете, заключающееся в логическом использовании программными средствами защиты информации не прямой, как это принято, работы с контроллером, а средства системы BIOS – прерывания 13h. Это используют правонарушители, программно моделируя результат обращения ЭВМ к ключевой дискете путем перехвата прерывания 13h. Время преодоления защиты составляет при этом от одного дня до одной недели.

Контроллер - специализированный процессор, предназначенный для управления внешними (периферийными) устройствами и позволяющий освободить центральный процессор от выполнения этих функций.

Средства системы BIOS (Basic Input–Output System – базовой системы ввода–вывода информации) - часть программного обеспечения, входящего в состав ЭВТ, отвечающей за тестирование и начальную загрузку, поддержание стандартного интерфейса ЭВМ с периферийными устройствами и аппаратно воплощенную в постоянном запоминающем устройстве (ПЗУ);

4. использование механизма установки/снятия программных средств защиты информации, заключающееся в использовании рядом программных средств защиты при их установке на винчестер, привязки к физическому расположению файла на диске. Одновременно с этим в алгоритм работы этих средств, включаются функции, обеспечивающие их снятие с винчестера с одновременным восстановлением исходного состояния счетчика установок. Защищенные программные средства нельзя перемещать путем использования стандартных средств сохранения/восстановления файлов. Используя функцию снятия защищенной программы с винчестера, можно получить возможность незаконного тиражирования защищенных программных продуктов в корыстных целях. Для этого преступник осуществляет следующие действия:

• получает санкционированный или несанкционированный доступ к защищенному программному средству, расположенному на винчестере;

• анализирует структуру размещения и содержание всех файлов (в том числе скрытых), созданных на винчестере программой установки;

• выполняет копирование защищенной программы с винчестера (при этом восстанавливает исходный счетчик установок);

• восстанавливают сохраненное состояние системы и ее содержимое.

Результатом этих действий является получение ключевой дискеты с исходным счетчиком установок и нелегальной копии программного продукта на винчестере.

4. снятие системы защиты из памяти ЭВМ заключается в том, что система защиты через определенное время автоматически загружает в память ЭВМ защищаемое программное средство, расшифровывает его и передает управление расшифрованному коду. В этот момент в оперативной памяти ЭВМ находится полностью расшифрованная программа. Для получения несанкционированной копии правонарушителю осуществляется только сохранить ее в каком-либо файле, используя специальное инструментальное программное средство CERBERUS KIT, осуществляя следующие действия: 1) активизируется защищенная программа, начиная с ее различных адресов с сохранением образа памяти в двух файлах; 2) путем сравнения образов сохраненных в памяти двух файлов, определяются смещения перемещаемых адресов с одновременным их вычислением; 3) формируется таблица перемещений по п. 2 и заголовок ЕХЕ–файла.

5. комплексные способы совершения компьютерных преступлений формируются путем использования двух и более, ранее рассмотренных, а также их различных комбинаций.